La Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informin sobre infraccions normatives i de lluita contra la corrupció, transposa la Directiva Whistleblowing de la UE a l’ordenament jurídic espanyol. Des que va entrar en vigor, les empreses i les administracions públiques estan obligades a implantar un canal intern de denúncies que compleixi els requisits tècnics i organitzatius de la llei. L’incompliment té conseqüències econòmiques significatives.
A qui s’aplica la Llei 2/2023
L’obligació d’implantar un canal intern de denúncies s’aplica a:
Sector privat:
- Empreses amb 50 empleats o més (de qualsevol sector)
- Partits polítics, sindicats, organitzacions empresarials i fundacions amb finançament públic (independentment del nombre d’empleats)
- Empreses de sectors financers (independentment de la mida): banca, assegurances, serveis d’inversió, mercats de valors, entitats de pagament
Sector públic:
- Totes les administracions públiques (AGE, comunitats autònomes, ens locals)
- Organismes públics i entitats de dret públic
- Empreses amb participació majoritàriament pública
Important: les empreses d’entre 50 i 249 empleats van poder implantar el canal de manera compartida entre diverses empreses fins a l’1 de desembre de 2023. A partir d’aquesta data, l’obligació és individual.
Què ha d’incloure el canal de denúncies segons la llei
La Llei 2/2023 estableix requisits específics que el canal de denúncies ha de complir. No n’hi ha prou amb un formulari de correu electrònic o una bústia física.
Requisits tècnics obligatoris
Confidencialitat garantida: el sistema ha de garantir que la identitat de l’informant només la conegui el responsable del sistema intern d’informació, sense que hi pugui accedir cap altre empleat o directiu de l’organització. Això implica que el canal no el poden gestionar recursos humans, el departament jurídic intern ni cap persona subordinada a qui pugui ser denunciat.
Opció de denúncia anònima: el canal ha de permetre presentar comunicacions de manera anònima. És una novetat respecte de legislacions anteriors: l’empresa no pot rebutjar denúncies anònimes.
Justificant de recepció en 7 dies: el sistema ha d’enviar a l’informant una confirmació de recepció en un termini màxim de 7 dies naturals des de la comunicació.
Resposta en 3 mesos: l’empresa o l’administració ha de comunicar a l’informant les mesures adoptades o previstes en un termini màxim de 3 mesos des de la recepció (ampliable a 6 mesos en casos complexos).
Independència del responsable: la persona responsable del sistema ha de tenir independència per dur a terme les investigacions, amb accés directe a l’òrgan de govern. En molts casos, aquesta funció s’externalitza a un advocat extern o a un responsable de compliment normatiu (compliance officer) independent.
Registre: totes les comunicacions han de quedar registrades amb la data, el contingut i les mesures adoptades. Els registres s’han de conservar almenys durant 3 anys.
Quines infraccions ha de permetre denunciar
El canal ha de cobrir, com a mínim:
- Infraccions del dret de la Unió Europea
- Infraccions de l’ordenament jurídic espanyol (penal, administratiu, laboral)
- Vulneracions de normes internes de l’organització
- Accions o omissions que puguin constituir corrupció
La llei és deliberadament àmplia: l’empresa no pot limitar l’abast del canal només a algunes categories d’infraccions.
Les sancions per incomplir la Llei 2/2023
El règim sancionador és un dels més estrictes en matèria de compliment normatiu a Espanya:
| Infracció | Qualificació | Sanció màxima |
|---|---|---|
| No disposar de canal de denúncies quan és obligatori | Molt greu | 1.000.000 € (empreses) / 500.000 € (persona física) |
| Canal que no compleix els requisits tècnics | Greu | 300.000 € (empreses) / 100.000 € (persona física) |
| Represàlies contra l’informant | Molt greu | 1.000.000 € + indemnització a l’informant |
| No mantenir la confidencialitat | Molt greu | 1.000.000 € |
| No resoldre dins de termini | Greu | 300.000 € |
La potestat sancionadora correspon a l’Autoritat Independent de Protecció de l’Informant (A.A.I.), organisme creat per la llei mateixa.
Requisits tècnics de seguretat: per què aquí importa l’ENS
El canal de denúncies gestiona informació especialment sensible: identitats d’informants, detalls de presumptes infraccions, dades sobre persones investigades. La Llei 2/2023 no esmenta explícitament l’ENS, però sí que exigeix que el sistema garanteixi la confidencialitat i la integritat de la informació.
Per a les administracions públiques, l’ENS és obligatori també per al canal de denúncies, atès que és un sistema d’informació que tracta dades personals de ciutadans o d’empleats públics. La categoria del sistema sol ser mitjana, cosa que requereix la certificació d’un tercer.
Per a les empreses privades, l’ENS no és obligatori per llei, però recórrer a un proveïdor certificat en ENS o en ISO 27001, o en tots dos, és la manera més sòlida de demostrar que s’han adoptat mesures tècniques adequades per garantir la confidencialitat que exigeix la llei. En cas de litigi o d’investigació de l’A.A.I., aquesta acreditació és un argument de defensa important.
Què vol dir exactament que un proveïdor estigui certificat —organisme emissor, abast i vigència de l’ENS i de l’ISO 27001— ho detallem a la pàgina de certificacions de CEDESA, que serveix de referència del que convé demanar per escrit.
Com implantar el canal de denúncies: passos pràctics
Pas 1: Determinar si l’obligació s’aplica
Verifica: nombre d’empleats, sector d’activitat, participació pública. Si tens dubtes, consulta-ho amb un advocat especialitzat en compliment normatiu o amb el proveïdor de programari abans d’iniciar el projecte.
Pas 2: Decidir entre gestió interna o externalitzada
Gestió interna: el responsable del canal és un empleat o un directiu de l’empresa, generalment el responsable de compliment normatiu o el director jurídic. És vàlida si la persona designada té independència real i accés al consell d’administració. Risc: conflicte d’interessos si cal investigar la direcció mateixa.
Gestió externalitzada: el responsable del canal és un despatx d’advocats extern o una altra empresa especialitzada. Elimina el conflicte d’interessos i aporta credibilitat davant dels informants. Recomanada per a empreses sense responsable de compliment normatiu propi.
Pas 3: Seleccionar i implantar la plataforma tecnològica
La plataforma ha de cobrir:
- Formulari de denúncia anònima accessible 24/7
- Xifratge de les comunicacions en trànsit i en repòs
- Canal de comunicació bidireccional anonimitzat (per fer preguntes a l’informant sense revelar-ne la identitat)
- Flux de gestió: registre, assignació, seguiment de terminis, resolució
- Registre immutable de totes les accions (per a l’auditoria)
- Control d’accés per rols amb segregació de funcions
Si cap plataforma del mercat no encaixa amb el flux intern de l’organització (integració amb l’expedient, amb el sistema de recursos humans o amb el registre d’entrada), el canal es pot construir com un desenvolupament propi: CEDESA ho aborda des del seu servei de programari a mida, amb l’ENS i l’ISO 27001 com a base de l’arquitectura.
Pas 4: Comunicar l’existència del canal
La llei obliga a informar tots els empleats de l’existència del canal, del seu abast i de les proteccions que ofereix a l’informant. Aquesta comunicació ha de quedar documentada.
Pas 5: Formar el responsable del canal
El responsable del canal ha de rebre formació específica sobre el procediment d’investigació, els terminis legals, el tractament de les dades personals i les garanties de l’informant.
Preguntes freqüents sobre el canal de denúncies
Una empresa de 30 empleats ha d’implantar el canal de denúncies?
No, si no pertany a un sector financer regulat ni té participació pública. L’obligació per al sector privat en general comença a partir dels 50 empleats. Per sota d’aquest llindar, tenir un canal és una bona pràctica de compliment normatiu, però no una obligació legal.
Es pot fer servir el canal de recursos humans o el correu electrònic del director com a canal de denúncies?
No compleix els requisits de la llei. El canal ha de garantir la independència del responsable i la confidencialitat de la identitat de l’informant. Un correu electrònic corporatiu gestionat per recursos humans no compleix cap dels dos requisits.
L’RGPD afecta el canal de denúncies?
Sí. El canal tracta dades personals (de l’informant, de la persona investigada, de testimonis) i ha de complir l’RGPD. Això implica: base jurídica per al tractament, informació a la persona afectada (en la mesura que no comprometi la investigació), terminis de conservació i mesures de seguretat adequades. El responsable del tractament és l’empresa, no el proveïdor del programari.
Es pot exigir que l’informant s’identifiqui per tramitar-ne la denúncia?
No. La llei prohibeix rebutjar denúncies anònimes. L’empresa pot assignar menys recursos a la investigació de les denúncies anònimes que a la de les identificades, però no les pot ignorar ni arxivar sense una investigació prèvia.
Quin termini té l’empresa per implantar el canal si encara no el té?
L’obligació ja és vigent. Si la teva empresa supera els 50 empleats i no té canal de denúncies, incompleix la llei des de l’1 de juny de 2023 (empreses de més de 249 empleats) o des de l’1 de desembre de 2023 (empreses de 50 a 249 empleats). La implantació urgent és possible: amb un proveïdor especialitzat, el canal pot estar operatiu en 2-4 setmanes.