De la obligacion teorica a la inspeccion real
La Ley 2/2023, reguladora de la proteccion de las personas que informen sobre infracciones normativas, lleva en vigor desde marzo de 2023. Durante dos anos las empresas espanolas la trataron como una obligacion teorica: instalar un canal, publicar la politica, ya esta. En 2026 esa percepcion cambia bruscamente. La Autoridad Independiente de Proteccion del Informante (AAI), creada por Real Decreto en marzo de 2024 y operativa desde principios de 2025, ha completado su fase de despliegue y ha iniciado las primeras inspecciones programadas. La AAI publico en febrero de 2026 su Plan de Inspeccion 2026 que prioriza tres sectores: financiero, sanitario y administraciones publicas, con 480 inspecciones previstas.
El umbral de aplicacion es 50 trabajadores. Las administraciones publicas, los partidos politicos, los sindicatos y todas las entidades que gestionen fondos europeos estan sujetas independientemente del numero de empleados. Esto significa que la mayor parte del tejido empresarial mediano espanol esta dentro del ambito.
Que documenta realmente un sistema interno de informacion
La Ley 2/2023 exige no solo que el canal exista, sino que produzca un rastro documental verificable. Los inspectores de la AAI piden:
- Politica del sistema interno de informacion aprobada por el organo de administracion, fechada y firmada
- Designacion del Responsable del Sistema, comunicada a la AAI
- Registro de todas las comunicaciones recibidas, anonimas y nominales, con identificador unico, fecha de entrada y categoria
- Acuses de recibo emitidos en el plazo de 7 dias naturales
- Resoluciones motivadas en el plazo maximo de 3 meses (prorrogable a 6 meses justificadamente)
- Comunicaciones al informante con respeto a la confidencialidad
- Evaluacion de impacto en proteccion de datos (EIPD) actualizada
- Registro de actividades de tratamiento conforme al RGPD
- Pruebas de accesibilidad del canal a colaboradores externos (subcontratas, becarios, accionistas)
- Plan de formacion del personal con asistencia documentada
El plazo de conservacion general es de 10 anos para todos los registros, con tratamiento especial para datos personales que se borran al cierre del expediente salvo que sea necesario para acreditar el funcionamiento del sistema.
Los tres errores que estan generando multas en 2026
De las primeras 60 inspecciones cerradas con resolucion en el primer trimestre de 2026, se observan patrones claros:
1. Canales que no garantizan la confidencialidad real. Muchas empresas instalaron un buzon de email genericamente accesible por el departamento de recursos humanos. La AAI considera que un canal donde el receptor pueda identificar al informante por la direccion IP o el correo electronico no cumple el articulo 7 de la ley. Sancion habitual: entre 100.000 y 300.000 EUR.
2. Plazos incumplidos sin justificacion documentada. Los acuses de recibo de 7 dias y las resoluciones de 3 meses se incumplen con frecuencia. La AAI no acepta el argumento de carga de trabajo. Se exige justificacion expresa de la prorroga, comunicada al informante por escrito. Sancion habitual: entre 60.000 y 200.000 EUR.
3. Falta de evaluacion de impacto y registro de tratamientos. Las empresas que no han actualizado la documentacion RGPD relativa al canal de denuncias acumulan dos posibles infracciones: por la Ley 2/2023 ante la AAI, y por la LOPDGDD ante la AEPD. Las inspecciones combinadas son cada vez mas frecuentes.
Cuadro de sanciones bajo la Ley 2/2023
El regimen sancionador es uno de los mas estrictos del derecho administrativo espanol:
- Infracciones muy graves: de 600.001 hasta 1.000.000 EUR para personas juridicas; hasta 300.000 EUR para personas fisicas
- Infracciones graves: de 100.001 hasta 600.000 EUR para personas juridicas
- Infracciones leves: hasta 100.000 EUR
- Sanciones accesorias: prohibicion de contratar con el sector publico hasta 4 anos
- Publicacion de la sancion firme en el Boletin Oficial de la AAI
Las represalias contra el informante (despido, traslado, exclusion de promocion) constituyen infraccion muy grave directamente, sin necesidad de evaluar la suficiencia del canal.
Por que el archivo digital es el cuello de botella
La AAI ha publicado guias que insisten en la integridad y la disponibilidad de los registros. Una empresa que pueda demostrar la trazabilidad cronologica completa (denuncia, acuse, instruccion, resolucion, comunicaciones) en formato digital con marca temporal pasa la inspeccion sin sancion. Una empresa que solo tenga un Excel con resumen y archivos sueltos por carpetas, no.
Tres requisitos tecnicos diferencian un archivo aceptable de uno deficiente:
- Sellado temporal cualificado (eIDAS) en cada accion del expediente
- Trazabilidad inalterable: registro de quien accedio, cuando y a que documento
- Backup geograficamente separado y con periodo de conservacion configurado a 10 anos
Que debe hacer una empresa espanola entre mayo y diciembre de 2026
El periodo restante de 2026 es la ventana practica para evitar las inspecciones del segundo semestre. Plan de accion:
- Auditar el sistema interno de informacion contra la lista de comprobacion de la AAI
- Reconfigurar el canal si no garantiza confidencialidad por defecto (cifrado extremo a extremo, anonimizacion de IP)
- Actualizar la EIPD y el RAT para reflejar el sistema actual
- Centralizar el archivo de expedientes en una herramienta con sellado temporal y trazabilidad
- Documentar la formacion del personal en el primer semestre y prever otra sesion antes de fin de ano
- Designar un Responsable del Sistema con perfil de cumplimiento y notificarlo a la AAI
Las empresas que ignoren estas obligaciones se enfrentan no solo a la sancion economica directa, sino al riesgo reputacional de aparecer en el Boletin de la AAI y a la prohibicion de contratar con el sector publico, que en muchos sectores equivale a perder el cliente principal.
