Si tu empresa ronda los 50 trabajadores, sobre todo en verano, el canal de denuncias obligatorio de la Ley 2/2023 puede tocarte. Aquí tienes quién está obligado, cómo se cuenta la plantilla, qué pide la ley y qué multas hay. Lo hemos revisado en el BOE y en la web de la Autoridad Independiente de Protección del Informante en octubre de 2026.
Canal de denuncias obligatorio: quién tiene que tenerlo
Toda empresa privada con 50 o más trabajadores contratados tiene que tener un sistema interno de información, que es el nombre legal del canal de denuncias (artículo 10.1.a de la Ley 2/2023). Vale para sociedades y para empresarios individuales. La ley está en vigor desde el 13 de marzo de 2023, y las empresas de 50 a 249 trabajadores tenían de plazo hasta el 1 de diciembre de 2023 (disposición transitoria segunda). Si hoy tienes 50 o más, ya deberías tenerlo.
Otras empresas están obligadas sea cual sea su tamaño: las de servicios financieros, prevención del blanqueo de capitales, seguridad del transporte y medio ambiente (artículo 10.1.b), y los partidos, sindicatos y organizaciones empresariales que reciben fondos públicos (artículo 10.1.c). Por debajo de 50 puedes tenerlo de forma voluntaria, pero entonces cumple todos los requisitos de la ley (artículo 10.2).
En hostelería son pocas. A 1 de enero de 2025, de las 234.900 empresas de servicios de comidas y bebidas del Directorio Central de Empresas del INE, 1.037 tenían 50 asalariados o más: el 0,44 %. Otras 3.819 tenían entre 20 y 49. Si la tuya está ahí y contrata mucho en temporada, haz la cuenta. Más cifras del sector en la hostelería en datos.
Cómo se cuentan los 50 trabajadores
La ley no dice cómo contar. La Autoridad Independiente de Protección del Informante (AIPI) propone, como criterio orientativo, el del plan de igualdad, que también se exige desde 50 trabajadores (Recomendación 1/2026 y artículo 3 del Real Decreto 901/2020).
Se cuenta la plantilla total de la empresa, con todos sus centros de trabajo. Entran todos los contratos: indefinidos, fijos discontinuos, temporales y personas cedidas por una ETT. Cada persona a tiempo parcial cuenta como una, haga las horas que haga. Se suman los contratos temporales que terminaron en los seis meses anteriores: cada 100 días trabajados, o fracción, es una persona más. La cuenta se hace, al menos, el último día de junio y el de diciembre.
Un ejemplo con tres restaurantes en la misma empresa:
- 28 personas a jornada completa, 12 a tiempo parcial y 6 fijos discontinuos: 46.
- Los extras del verano ya han terminado, pero entre julio y septiembre sumaron 420 días trabajados. A 31 de diciembre siguen dentro de los seis meses. Son cuatro centenas y una fracción: 5 personas más.
- Total: 51. La empresa está obligada.
Los días de cada temporal salen de tus contratos y de tu registro de jornada.
¿Y si tengo varias sociedades o franquicias?
La obligación es de cada empresa, no del grupo. Para la AIPI, pertenecer a un grupo "no modifica esta regla" y cada sociedad "debe analizar por sí misma" si está obligada (Recomendación 1/2026, apartado II.1.5). Cada sociedad obligada notifica su responsable, aunque sea el mismo para todas (preguntas frecuentes de la AIPI, 18 y 20).
El grupo puede tener un solo sistema y un solo responsable para todas sus sociedades, con una política general que aprueba la sociedad dominante (artículo 11). Las sociedades con menos de 50 trabajadores pueden sumarse de forma voluntaria. Así tienes un canal y un procedimiento para todos los locales.
En una franquicia, cada franquiciado es su propia empresa y cuenta su propia plantilla. Los que son sociedades y tienen entre 50 y 249 trabajadores pueden compartir entre ellos el sistema y los medios para gestionarlo (artículo 12), pero cada uno envía a la autoridad el acuerdo y la designación del responsable (Guía 1/2026 de la AIPI). Qué más centralizar en una red, en TPV para cadenas y franquicias.
Qué tiene que tener el canal
La ley habla de denunciar por escrito, de palabra o de las dos formas, y de una reunión en persona en un plazo máximo de siete días si quien denuncia la pide (artículo 7.2). La AIPI interpreta que el sistema tiene que admitir denuncias por escrito y de palabra. No hace falta que lo haga el programa: basta una línea de teléfono que atienda tu responsable, y la reunión presencial si alguien la pide (Recomendación 1/2026, apartado II.1.3). Esas denuncias de palabra se graban o se transcriben, con el consentimiento de quien denuncia (artículo 7.2). El canal también tiene que admitir y tramitar denuncias anónimas (artículo 7.3).
No protege cualquier queja. La ley cubre ciertas infracciones del Derecho de la Unión Europea, los delitos y las infracciones administrativas graves o muy graves, entre ellas siempre las que suponen un perjuicio económico para Hacienda o la Seguridad Social (artículo 2). Los conflictos personales entre compañeros quedan fuera de la protección (artículo 35.2.b).
El procedimiento lo aprueba el órgano de administración (artículo 9). El acuse de recibo sale en los siete días naturales siguientes. La respuesta llega en un máximo de tres meses desde la recepción, ampliables otros tres en casos de especial complejidad. La persona denunciada tiene derecho a saber de qué se le acusa y a ser oída. Si los hechos pueden ser delito, se envían de inmediato al Ministerio Fiscal.
El canal informa de los canales externos, porque tu equipo puede acudir directamente a la AIPI o a la autoridad de su comunidad (artículo 7.2). Y la información sobre el canal va en la página de inicio de tu web, en una sección separada (artículo 25).
El responsable del sistema y a quién se notifica
El órgano de administración nombra a una persona física como responsable del sistema, o a un órgano colegiado que delegue en uno de sus miembros (artículo 8). En una empresa privada, es un directivo que actúa con independencia. Antes de implantar el sistema, la empresa consulta a la representación legal de los trabajadores, si la tiene (artículo 5.1). La recepción de denuncias puede encargarse a un tercero, pero la responsabilidad no se traslada (artículo 6).
El nombramiento y el cese se notifican en los diez días hábiles siguientes (artículo 8.3). A la AIPI, si tienes locales en más de una comunidad o si tu comunidad no tiene autoridad propia con competencias sobre empresas privadas (AIPI). Si no, a la autoridad de tu comunidad. La AIPI abrió el trámite el 10 de febrero de 2026 y dio hasta el 10 de abril para los responsables ya nombrados (Guía 1/2026). Si se te pasó, notifícalo ahora: la ley puede tener en cuenta haber corregido un incumplimiento por propia iniciativa (artículo 66.1.e).
La AIPI cita ocho comunidades que han asumido, en todo o en parte, estas competencias: Cataluña, Galicia, Andalucía, Comunitat Valenciana, Castilla-La Mancha, Navarra, Comunidad de Madrid y Castilla y León. En Cataluña, la Oficina Antifrau supervisa los canales del sector público y del privado y lleva su propio registro de responsables, con el mismo plazo de diez días hábiles. En el País Vasco, la Autoridad Vasca de Transparencia (Gardena), prevista en la Ley 3/2026, aún no funciona, y en Asturias el consejo de transparencia todavía no ejerce estas competencias, según la AIPI. Mientras Gardena no funcione, la regla de la AIPI lleva la notificación a la AIPI: se notifica allí cuando la comunidad no tiene autoridad con competencias sobre empresas privadas.
Anonimato y libro-registro
La identidad de quien denuncia no se revela, salvo a un juez, al Ministerio Fiscal o a la autoridad administrativa en una investigación (artículo 33). La persona denunciada no será informada en ningún caso de quién la denunció (artículo 31.2). Si alguien eligió el anonimato, cualquier intento de revelar quién es ya es infracción muy grave, aunque no se consiga (artículo 63.1.c).
Toda empresa obligada lleva un libro-registro de las denuncias recibidas y de las investigaciones internas (artículo 26). No es público: solo un juez puede ordenar el acceso, mediante auto. Para la AIPI, recoge al menos la fecha de recepción, el objeto, el estado y la fecha de cierre. Los datos personales se guardan solo el tiempo necesario y nunca más de diez años. Si en tres meses no se ha abierto una investigación, se borran, salvo de forma anonimizada para dejar constancia de que el sistema funciona (artículo 32.4).
Quién vigila y qué multas hay
La AIPI funciona desde el 1 de septiembre de 2025 (Orden PJC/908/2025), con el estatuto del Real Decreto 1101/2024 y Manuel Villoria como presidente (Real Decreto 328/2025). Gestiona el canal externo y sanciona a las empresas privadas de toda España, salvo donde una ley autonómica dé esa competencia a su propia autoridad (artículo 61).
Las represalias contra quien denuncia están prohibidas (artículo 36). La ley cita el despido, las sanciones disciplinarias y no renovar un contrato temporal superado el periodo de prueba, salvo que respondan a hechos acreditados y ajenos a la denuncia. Las multas son estas (artículos 63 y 65):
| Infracción | Ejemplos | Sociedad | Persona física |
|---|---|---|---|
| Muy grave (dolosa) | No tener el sistema, represalias, revelar o intentar revelar la identidad de quien denuncia, obstaculizar las denuncias | 600.001 a 1.000.000 € | 30.001 a 300.000 € |
| Grave | Vulnerar la confidencialidad sin llegar a muy grave, no adoptar medidas de confidencialidad y secreto | 100.001 a 600.000 € | 10.001 a 30.000 € |
| Leve | No colaborar con la investigación, cualquier otro incumplimiento de la ley | Hasta 100.000 € | 1.001 a 10.000 € |
En las muy graves, la autoridad puede añadir una amonestación pública, prohibir subvenciones hasta cuatro años y prohibir contratar con el sector público hasta tres (artículo 65.2). Prescriben a los tres años (artículo 64). No tener el sistema es una infracción permanente: el plazo empieza cuando lo pones en marcha (artículo 64.2 y artículo 30.2 de la Ley 40/2015).
Cómo montar el canal paso a paso
Es la lista de la AIPI (Recomendación 1/2026, apartado III), más la cuenta y el libro-registro.
- Haz la cuenta de plantilla a 30 de junio y a 31 de diciembre.
- Consulta a la representación legal de los trabajadores, si la hay.
- Que el órgano de administración apruebe el sistema, la política de defensa del informante y el procedimiento.
- Nombra al responsable del sistema y notifícalo en diez días hábiles a la AIPI o a tu autoridad autonómica.
- Pon en marcha el canal, por escrito y de palabra, con denuncias anónimas y reunión presencial si la piden.
- Publica la información en la página de inicio de tu web, con los canales externos.
- Abre el libro-registro.
- Explícaselo al equipo, también al de temporada, con un cartel en el office o el vestuario.
Si eliges una herramienta
El paso 5 se puede contratar. Platomico tiene una herramienta para eso, Whispr, enlazada desde su web. Es un canal escrito: su web describe un formulario y un chat, sin teléfono. Así que necesita al lado la línea de teléfono de tu responsable y la reunión presencial si alguien la pide.
Si tienes entre 51 y 250 empleados, te corresponde el plan de 99 € al mes, o 79 € al mes con pago anual por adelantado (precios de Whispr). El de 49 € llega hasta 50 empleados, y Enterprise no publica precio. Enterprise es el único con "Multi-establecimiento": si tienes varios locales, pregunta qué cubre cada plan. Sus términos dicen que los precios no incluyen IVA, que hay 14 días de prueba y que el contrato se renueva solo, con 30 días de preaviso por escrito para la baja.
Esos mismos términos dejan al cliente designar al responsable del sistema. Nombrarlo, notificarlo a la autoridad y aprobar la política y el procedimiento sigue siendo cosa de tu empresa.
