Canal de denuncias y correo corporativo: qué exige la Ley 2/2023 si la información entra por email

Muchas empresas tienen una dirección del tipo denuncias@ que cae en la bandeja de recursos humanos o de un directivo. Parece una solución rápida, y para recibir informaciones el correo es un medio válido. El problema llega después: quién puede leer esos mensajes, cuánto tiempo se puede tardar en responder, qué hay que registrar y qué pasa si la información llega a alguien que no debía verla.

La Ley 2/2023, de 20 de febrero, fija las condiciones de ese sistema. Esta guía repasa quién está obligado, qué requisitos tiene el canal, por qué un buzón genérico rara vez basta y qué plazos y garantías hay que cumplir. Cuando la denuncia abre una investigación que necesita el correo, la parte de custodia de las evidencias está en la guía sobre evidencias de correo en una investigación interna. Las normas se citan a fecha de octubre de 2026. Es información general y no sustituye el asesoramiento jurídico: la implantación del canal debe revisarla un abogado especializado.

Quién está obligado

La ley regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. En el sector privado, su artículo 10 obliga a disponer de un sistema interno de información a las personas físicas o jurídicas que tengan contratados cincuenta o más trabajadores (apartado 1.a).

El mismo artículo 10 añade otros dos supuestos. El primero son las personas jurídicas de ámbitos regulados por el Derecho de la Unión, como los servicios, los mercados financieros, la prevención del blanqueo de capitales, la seguridad del transporte y el medio ambiente. Deben tener sistema con independencia de su plantilla. El segundo son los partidos políticos, los sindicatos, las organizaciones empresariales y sus fundaciones, cuando reciben o gestionan fondos públicos.

Las demás entidades privadas pueden crear un sistema propio aunque no estén obligadas (apartado 2). Si lo hacen, deben cumplir los mismos requisitos que la ley exige.

Un matiz evita errores frecuentes. El artículo 13 también se cita en muchos textos sobre el canal, pero se dirige al sector público. Una empresa privada no se rige por él.

Sobre las fechas, la disposición transitoria segunda fijó un plazo general de tres meses desde la entrada en vigor de la ley y, para las entidades privadas de 249 trabajadores o menos, hasta el 1 de diciembre de 2023. Esas fechas han pasado. Si tu organización todavía no tiene el sistema, ya toca regularizarlo, y conviene hacerlo cuanto antes y con asesoramiento.

Qué debe tener el sistema interno

El artículo 5.2 enumera los requisitos del sistema. Dos condicionan especialmente el correo: que esté diseñado y gestionado de forma segura, y que garantice la confidencialidad de la identidad de quien informa, de cualquier tercero mencionado y de las actuaciones, impidiendo el acceso de personal no autorizado (letra b). El resto del listado trata aspectos de organización y de procedimiento que conviene revisar en el texto consolidado.

Además, el sistema debe tener:

• Un responsable del sistema, designado por el órgano de administración. En el sector privado debe ser un directivo independiente de ese órgano. Puede compatibilizar la función con otras si el tamaño de la entidad no lo justifica, evitando conflictos de interés (artículo 8). Su nombramiento y su cese se comunican a la Autoridad Independiente en diez días hábiles (artículo 8.3).
• Un procedimiento de gestión aprobado por el órgano de administración, con los requisitos mínimos del artículo 9.2.
• Medios por escrito o verbales. La ley admite el correo postal o un medio electrónico habilitado, y la comunicación verbal por teléfono o mensajería de voz. A petición del informante cabe también una reunión presencial en un plazo de siete días (artículo 7.2).
• Admisión de comunicaciones anónimas. El artículo 7.3 obliga a que los canales permitan presentarlas y tramitarlas.

El sistema puede gestionarlo un tercero externo, con garantías de independencia, confidencialidad y protección de datos (artículo 6). La responsabilidad, sin embargo, no se traslada: sigue en el responsable del artículo 8. Un proveedor ayuda a gestionar el canal, pero no sustituye al órgano que responde.

Un buzón de correo como canal: qué sí y qué no

El correo puede ser parte del canal. El artículo 7.2 habla de comunicaciones por escrito por correo postal o «medio electrónico habilitado», y un buzón es, en lo técnico, un medio electrónico. La palabra clave es habilitado: el correo no basta por existir. Hay que organizarlo como parte de un sistema con responsable, procedimiento y registro.

Un buzón genérico no hace por sí solo varias de las cosas que la ley exige:

• Limitar el acceso. Una dirección tipo denuncias@ suele ser un grupo, y quien pertenece al grupo puede leer lo que llega. Si el grupo incluye directivos sin función en el sistema, o personas de informática con acceso a todos los buzones, el acceso queda abierto. El artículo 32 delimita quién puede acceder a los datos del sistema.
• Garantizar la confidencialidad fuera del canal. Si un mensaje llega a alguien que no es responsable, el artículo 9.2.g obliga a garantizar la confidencialidad, a que esa persona esté formada y advertida de que quebrantarla es una infracción muy grave, y a remitir la comunicación de inmediato al responsable.
• Registrar y controlar los plazos. El acuse de recibo, los tres meses y la prórroga requieren un seguimiento que el buzón no hace por sí solo.
• Evitar copias. Un reenvío a un correo personal, una copia a un hilo interno o una impresión que circula por la oficina son fugas de un expediente que debía estar cerrado.
• No obtener datos que identifiquen al informante. El artículo 33.2 exige que el canal no obtenga datos que permitan identificar a quien informa. Si la comunicación sale de la cuenta corporativa del propio informante, su identidad aparece en el mensaje, así que el procedimiento debe decidir qué se conserva y qué se limita (artículo 32.2).

Estas limitaciones no impiden usar un correo. Impiden usar un buzón abierto. Una configuración razonable tiene un buzón de acceso restringido al responsable del sistema, un procedimiento que explique cómo se avisa de los canales verbales u otros medios, y un registro separado del buzón. Si el volumen es bajo, muchas organizaciones combinan el correo con un canal verbal, y lo que se documenta es esa combinación.

Conviene recordar que el propio correo tiene reglas de retención y copias de seguridad. Lo que se decide sobre el buzón debe coincidir con la política de conservación, que desarrolla la guía sobre cuánto tiempo conservar los correos de empresa. Si el buzón de denuncias funciona como buzón compartido, quién responde desde él se explica en la guía sobre buzones compartidos.

Plazos: acuse, respuesta y prórroga

El artículo 9.2 fija tres plazos. Corren desde que la comunicación se recibe, no desde que alguien la lee:

• Acuse de recibo al informante en siete días naturales desde la recepción, salvo que comprometa la confidencialidad (letra c). Ese plazo no es prorrogable.
• Respuesta a las actuaciones de investigación en un plazo máximo de tres meses desde la recepción. Si no hubo acuse, el cómputo parte del vencimiento de los siete días (letra d).
• Prórroga de hasta otros tres meses en casos de especial complejidad (letra d).

Esos plazos tienen una consecuencia práctica. Un buzón que nadie revisa durante una semana ya ha consumido parte de un plazo que la organización no puede aplazar. La frecuencia de lectura debe quedar fijada en el procedimiento, con un responsable que la cumpla.

Si transcurren tres meses sin que se inicien actuaciones de investigación, los datos deben suprimirse, salvo que se conserven para dejar evidencia del funcionamiento del sistema. En ese caso, las comunicaciones sin curso solo pueden constar de forma anonimizada (artículo 32.4).

Confidencialidad y prohibición de represalias

El artículo 33 protege la identidad del informante frente a terceros. Esa identidad solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente, en el marco de una investigación penal, disciplinaria o sancionadora. Con carácter general, el informante debe ser avisado antes, salvo que avisarle pueda comprometer la investigación o el procedimiento (apartado 3).

El artículo 36 prohíbe las represalias, incluidas las amenazas y las tentativas, contra quien presenta una comunicación conforme a la ley. Define la represalia como cualquier acto u omisión que suponga un trato desfavorable por ser informante, con ejemplos como el despido, las evaluaciones negativas o la discriminación. Su apartado 4 vincula un periodo de dos años a la protección, con la posibilidad excepcional de ampliarlo. Conviene leerlo completo antes de citarlo en una política interna.

Quien gestiona el canal tiene que saber que su deber de confidencialidad tiene consecuencias. El artículo 63 tipifica como infracción muy grave, cuando hay dolo, la adopción de represalias y el quebranto de las garantías de confidencialidad o del deber de secreto en los supuestos que describe.

Datos personales y acceso al sistema

El artículo 32 regula quién puede acceder a los datos del sistema interno: el responsable del sistema y quien lo gestione directamente; el responsable de recursos humanos o el órgano competente, solo si cabe adoptar una medida disciplinaria contra una persona trabajadora; el responsable de servicios jurídicos, si cabe adoptar medidas legales; los encargados del tratamiento que se designen, y el delegado de protección de datos (apartado 1).

El mismo artículo obliga a suprimir de inmediato los datos innecesarios para investigar, y a conservar los demás solo el tiempo imprescindible para decidir si procede investigar (apartados 2 y 3).

La LOPDGDD también lo recoge. Su artículo 24, en la versión modificada por la propia Ley 2/2023, declara lícitos los tratamientos necesarios para proteger a quienes informan y remite su régimen a esa ley. La base y las garantías no están solo en el RGPD: están también en la ley del canal.

El libro-registro de informaciones

El artículo 26 obliga a las entidades con canal interno a llevar un libro-registro de las informaciones recibidas y de las investigaciones internas que generen. El libro no es público: solo puede consultarse, total o parcialmente, por orden judicial en un procedimiento.

Los datos del registro se conservan solo el tiempo necesario y proporcionado para cumplir la ley, y en ningún caso más de diez años (apartado 2).

Un correo no sustituye al libro. La ley no detalla el contenido de un registro práctico, pero uno que permita demostrar el funcionamiento del sistema suele anotar un número de referencia, la fecha de recepción, el canal usado, las fechas de acuse y de respuesta, la decisión de admitir o archivar, y quién la tomó. Los datos personales del registro deben limitarse a lo imprescindible.

Cuando la investigación necesita el correo

Una vez admitida la comunicación, la investigación puede necesitar correos de la persona investigada, de quien informó o de terceros. La ley del canal regula el sistema y la protección de quien informa, pero no convierte en lícito cualquier acceso a un buzón. Que una información permita pedir un acceso depende de la política de uso, del alcance concreto, de la proporcionalidad y de las garantías de la persona investigada.

Conviene separar el canal de la investigación en el procedimiento. El canal recibe, acusa y registra. La investigación decide qué se revisa, con qué alcance, quién lo hace y cómo se conserva la prueba. La guía sobre evidencias de correo desarrolla esa segunda parte, y la guía sobre el control del correo de un empleado explica cuándo puede hacerse el acceso.

La Autoridad Independiente y el régimen sancionador

La Autoridad Independiente de Protección del Informante gestiona el canal externo de información, protege a las personas informantes frente a represalias y tiene potestad sancionadora. Su web oficial describe el procedimiento y ofrece el trámite para comunicar el nombramiento del responsable del sistema. Si la comunidad autónoma tiene un órgano propio, el artículo 8.3 prevé que la comunicación se haga a ese órgano.

El régimen sancionador del artículo 65 fija las multas por tipo de infracción. Estas son las cuantías del texto consolidado consultado:

Conviene leer el artículo 65 completo antes de usar estas cifras en un informe, porque hay criterios de graduación y otros supuestos que no caben en una tabla.

Qué hace y qué no hace EmailDelDia

EmailDelDia no funciona como canal de denuncias. No recibe informaciones de personas informantes, no lleva el libro-registro del artículo 26 y no sustituye al responsable del sistema ni a su procedimiento.

Lo que sí hace, en el módulo de auditoría e investigaciones, es organizar una investigación con su alcance, su periodo y sus fuentes, y registrar el acceso a cada evidencia. Esa parte cubre la investigación una vez que existe. El canal, los plazos y la confidencialidad del informante siguen siendo responsabilidad de la organización.

Preguntas frecuentes

¿Un correo a denuncias@ cumple la Ley 2/2023?

Puede formar parte del canal como medio por escrito, pero solo si el sistema completo cumple: responsable designado, procedimiento aprobado, acceso restringido, acuse y plazos, confidencialidad y registro. Un alias que llega a la bandeja de un directivo sin función en el sistema no cumple.

¿Hay que admitir denuncias anónimas?

Sí. El artículo 7.3 obliga a que los canales internos permitan presentar y tramitar comunicaciones anónimas. Un mensaje anónimo es más difícil de tramitar, porque no hay a quién pedir información adicional, pero el procedimiento debe prever ese caso.

¿Y si la persona informante escribe desde su correo corporativo?

El canal no debe obtener datos que permitan identificarla (artículo 33.2). El procedimiento debe decidir, por tanto, qué se conserva del mensaje, quién lo ve y qué se suprime cuando no sea necesario (artículo 32.2). También debe informar de que existen otros medios para comunicar, con las mismas garantías de confidencialidad.

¿Cuánto tiempo hay que conservar la información?

La ley fija dos límites. Si no se inician actuaciones de investigación a los tres meses, los datos se suprimen, salvo que se conserven para dejar evidencia del funcionamiento del sistema, y en ese caso solo de forma anonimizada (artículo 32.4). El registro de informaciones no puede superar los diez años (artículo 26.2). Para conservar las pruebas de una investigación se aplican otros criterios, que desarrolla la guía sobre cuánto tiempo conservar los correos de empresa.

¿Hace falta canal si la empresa tiene menos de 50 trabajadores?

No por el umbral de plantilla, salvo que concurra alguno de los otros supuestos del artículo 10, como pertenecer a un ámbito regulado por el Derecho de la Unión. Las entidades que no están obligadas pueden crear un sistema propio, y entonces deben cumplir los mismos requisitos. Lo que no conviene es tener un buzón sin procedimiento, porque no hay garantías que demostrar.