Canal de denuncias 2026: la AAI multa hasta 1 millón EUR
Tres anos tras la Ley 2/2023, la nueva AAI inicia en 2026 su primer ciclo sancionador. Un canal de denuncias mal documentado expone a multas de 1 millón.
De la obligación teórica a la inspección real
La Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas, lleva en vigor desde marzo de 2023. Durante dos anos las empresas españolas la trataron como una obligación teórica: instalar un canal, publicar la política, ya esta. En 2026 esa percepción cambia bruscamente. La Autoridad Independiente de Protección del Informante (AAI), creada por Real Decreto en marzo de 2024 y operativa desde principios de 2025, ha completado su fase de despliegue y ha iniciado las primeras inspecciones programadas. La AAI publico en febrero de 2026 su Plan de Inspección 2026 que prioriza tres sectores: financiero, sanitario y administraciones publicas, con 480 inspecciones previstas.
El umbral de aplicación es 50 trabajadores. Las administraciones publicas, los partidos políticos, los sindicatos y todas las entidades que gestionen fondos europeos están sujetas independientemente del numero de empleados. Esto significa que la mayor parte del tejido empresarial mediano español esta dentro del ámbito.
Que documenta realmente un sistema interno de información
La Ley 2/2023 exige no solo que el canal exista, sino que produzca un rastro documental verificable. Los inspectores de la AAI piden:
- Política del sistema interno de información aprobada por el órgano de administración, fechada y firmada
- Designación del Responsable del Sistema, comunicada a la AAI
- Registro de todas las comunicaciones recibidas, anónimas y nominales, con identificador único, fecha de entrada y categoría
- Acuses de recibo emitidos en el plazo de 7 días naturales
- Resoluciones motivadas en el plazo máximo de 3 meses (prorrogable a 6 meses justificadamente)
- Comunicaciones al informante con respeto a la confidencialidad
- Evaluación de impacto en protección de datos (EIPD) actualizada
- Registro de actividades de tratamiento conforme al RGPD
- Pruebas de accesibilidad del canal a colaboradores externos (subcontratas, becarios, accionistas)
- Plan de formación del personal con asistencia documentada
El plazo de conservación general es de 10 anos para todos los registros, con tratamiento especial para datos personales que se borran al cierre del expediente salvo que sea necesario para acreditar el funcionamiento del sistema.
Los tres errores que están generando multas en 2026
De las primeras 60 inspecciones cerradas con resolución en el primer trimestre de 2026, se observan patrones claros:
1. Canales que no garantizan la confidencialidad real. Muchas empresas instalaron un buzón de email genéricamente accesible por el departamento de recursos humanos. La AAI considera que un canal donde el receptor pueda identificar al informante por la dirección IP o el correo electrónico no cumple el articulo 7 de la ley. Sanción habitual: entre 100.000 y 300.000 EUR.
2. Plazos incumplidos sin justificación documentada. Los acuses de recibo de 7 días y las resoluciones de 3 meses se incumplen con frecuencia. La AAI no acepta el argumento de carga de trabajo. Se exige justificación expresa de la prorroga, comunicada al informante por escrito. Sanción habitual: entre 60.000 y 200.000 EUR.
3. Falta de evaluación de impacto y registro de tratamientos. Las empresas que no han actualizado la documentación RGPD relativa al canal de denuncias acumulan dos posibles infracciones: por la Ley 2/2023 ante la AAI, y por la LOPDGDD ante la AEPD. Las inspecciones combinadas son cada vez mas frecuentes.
Cuadro de sanciones bajo la Ley 2/2023
El régimen sancionador es uno de los mas estrictos del derecho administrativo español:
- Infracciones muy graves: de 600.001 hasta 1.000.000 EUR para personas jurídicas; hasta 300.000 EUR para personas físicas
- Infracciones graves: de 100.001 hasta 600.000 EUR para personas jurídicas
- Infracciones leves: hasta 100.000 EUR
- Sanciones accesorias: prohibición de contratar con el sector publico hasta 4 anos
- Publicación de la sanción firme en el Boletín Oficial de la AAI
Las represalias contra el informante (despido, traslado, exclusión de promoción) constituyen infracción muy grave directamente, sin necesidad de evaluar la suficiencia del canal.
Por que el archivo digital es el cuello de botella
La AAI ha publicado guías que insisten en la integridad y la disponibilidad de los registros. Una empresa que pueda demostrar la trazabilidad cronológica completa (denuncia, acuse, instrucción, resolución, comunicaciones) en formato digital con marca temporal pasa la inspección sin sanción. Una empresa que solo tenga un Excel con resumen y archivos sueltos por carpetas, no.
Tres requisitos técnicos diferencian un archivo aceptable de uno deficiente:
- Sellado temporal cualificado (eIDAS) en cada acción del expediente
- Trazabilidad inalterable: registro de quien accedió, cuando y a que documento
- Backup geográficamente separado y con periodo de conservación configurado a 10 anos
Que debe hacer una empresa española entre mayo y diciembre de 2026
El periodo restante de 2026 es la ventana practica para evitar las inspecciones del segundo semestre. Plan de acción:
- Auditar el sistema interno de información contra la lista de comprobación de la AAI
- Reconfigurar el canal si no garantiza confidencialidad por defecto (cifrado extremo a extremo, anonimizacion de IP)
- Actualizar la EIPD y el RAT para reflejar el sistema actual
- Centralizar el archivo de expedientes en una herramienta con sellado temporal y trazabilidad
- Documentar la formación del personal en el primer semestre y prever otra sesión antes de fin de ano
- Designar un Responsable del Sistema con perfil de cumplimiento y notificarlo a la AAI
Las empresas que ignoren estas obligaciones se enfrentan no solo a la sanción económica directa, sino al riesgo reputacional de aparecer en el Boletín de la AAI y a la prohibición de contratar con el sector publico, que en muchos sectores equivale a perder el cliente principal.
