Qué protege este sistema en seguridad y salud
La Ley 2/2023 protege en España a quienes informan de hechos comprendidos en su ámbito y cumplen sus condiciones. Incluye determinadas infracciones del Derecho de la Unión y acciones u omisiones que puedan constituir infracción penal o administrativa grave o muy grave. Una preocupación preventiva puede encajar, pero no toda discrepancia con un mando recibe automáticamente esa protección específica.
En SST hay que examinar los hechos y la tipificación aplicable, sin exigir a la persona informante que dicte una sentencia antes de comunicar. La ley mantiene las garantías propias de la normativa laboral preventiva. La Directiva europea ofrece el marco de referencia; las condiciones españolas descritas aquí no deben trasladarse sin revisión a centros situados en otros países.
Personas incluidas y contexto profesional
El ámbito personal supera la plantilla con contrato indefinido. El artículo 3 contempla empleados públicos y privados, autónomos, personas vinculadas a órganos de administración y quienes trabajan bajo la dirección de contratistas, subcontratistas o proveedores. También incluye situaciones anteriores o posteriores a la relación, formación y selección, en los términos de la ley.
Las medidas pueden extenderse, cuando corresponda, a representantes que asesoran, personas que ayudan a informar y otras relacionadas que puedan sufrir represalias. En una cadena de contratación conviene ofrecer acceso comprensible a personal externo y comprobar qué entidad recibió y gestiona la información. Esa accesibilidad no implica compartir la identidad con todas las empresas participantes ni publicar la comunicación en el expediente general de coordinación.
Fuentes: [1]
Condiciones de protección y límites
El artículo 35 requiere motivos razonables para pensar que la información era veraz al comunicarla y que entraba en el ámbito legal, además de utilizar las vías conforme a sus requisitos. No exige aportar pruebas concluyentes. Una investigación que finalmente no confirma los hechos no convierte por sí sola a la persona informante en autora de una denuncia maliciosa.
La ley contempla exclusiones, entre ellas determinados conflictos exclusivamente interpersonales, meros rumores e información fuera de su ámbito. Una recepción correcta distingue esos supuestos de posibles infracciones relevantes y deriva lo que proceda a otros mecanismos. Que una queja quede fuera de la Ley 2/2023 no autoriza represalias ni elimina obligaciones de prevención, igualdad, atención al acoso o tutela judicial que resulten aplicables.
Fuentes: [1]
Sistema interno, responsable y entidades obligadas
El artículo 10 establece, entre otros supuestos, la obligación de disponer de sistema interno para entidades privadas con cincuenta o más personas trabajadoras. Existen sectores y entidades obligados por reglas específicas con independencia de esa cifra; el sector público tiene su regulación en el artículo 13. Una empresa pequeña no debe deducir su situación solo de un contador de plantilla.
La dirección debe aprobar el sistema y el procedimiento, consultar previamente con la representación legal en los términos legales y designar un responsable con independencia y medios. La Recomendación 1/2026 de la AIPI ayuda a organizarlo, pero no tiene carácter normativo vinculante. Contratar una aplicación o un proveedor externo no sustituye la responsabilidad de gobierno, las garantías ni la supervisión de su funcionamiento.
Canal interno y canal externo no son una escalera obligatoria
El cauce interno es preferente cuando puede tratar eficazmente la infracción y la persona considera que no existe riesgo de represalia. El artículo 16 permite acudir directamente al canal externo competente o hacerlo después del interno. No debe imponerse como condición general haber informado antes al superior presuntamente implicado ni haber agotado todas las instancias de la empresa.
La competencia externa depende del ámbito público o privado, los efectos territoriales y la regulación autonómica. La AIPI explica el reparto y los convenios que pueden modificar la operativa. Antes de presentar, se comprueba la autoridad y el canal vigentes. La entidad debe explicar esa alternativa con claridad, sin presentar el canal externo como una deslealtad ni garantizar resultados de investigaciones que corresponden a otra autoridad.
Comunicación anónima y reserva de identidad
El canal interno debe permitir la presentación y tramitación de comunicaciones anónimas. Esto es diferente de una comunicación identificada cuya identidad se mantiene reservada. Debe existir una forma segura de ampliar información y recibir respuestas, evitando que una cuenta compartida, una notificación visible o un archivo con metadatos exponga innecesariamente a quien informa.
La reserva no se debe prometer como secreto absoluto frente a toda autoridad. El artículo 33 contempla comunicaciones de identidad a órganos judiciales, Fiscalía o autoridad administrativa competente en determinados procedimientos y con salvaguardas. La persona afectada por los hechos no recibe la identidad del informante. El acceso técnico también necesita controles: quienes administran una herramienta no deben obtener por defecto acceso libre al contenido de todos los casos.
Fuentes: [1]
Recepción, investigación y respuesta en el sistema interno
El procedimiento interno debe prever acuse de recibo dentro de siete días naturales, salvo riesgo para la confidencialidad. El artículo 9 regula el plazo máximo de respuesta a las actuaciones de investigación, ordinariamente de tres meses, su punto de inicio y la ampliación por especial complejidad hasta otros tres meses. Estos plazos no son una autorización para posponer la corrección de un peligro.
La gestión distingue admisión, obtención de información, análisis, medidas y comunicación del resultado que proceda. Deben respetarse la presunción de inocencia, el honor y la audiencia de las personas afectadas en el momento compatible con la investigación. Si los hechos presentan indicios de delito, se aplica la remisión prevista legalmente. El equipo no debe convertir una etiqueta automática de gravedad en una declaración de culpabilidad.
Fuentes: [1]
Separar investigación y control de un riesgo urgente
Una comunicación sobre una protección de máquina retirada puede exigir una valoración y medidas inmediatas, aunque todavía no se haya resuelto su encaje en el sistema de informantes. Las obligaciones ante un riesgo grave e inminente de la LPRL tienen su propia operativa. El canal de información no sustituye los avisos de emergencia, la actuación de responsables preventivos ni los derechos legalmente previstos.
El responsable del sistema puede coordinar una intervención comunicando lo estrictamente necesario para controlar el peligro y protegiendo identidades. La Inspección dispone además de vías de denuncia y comunicación de irregularidades laborales. Cada vía tiene finalidad y requisitos propios. Se documenta qué se ha remitido, a quién y por qué, sin multiplicar copias sensibles ni suponer que abrir un expediente interno detiene plazos de otras actuaciones.
Prevención y seguimiento de represalias
La prohibición comprende represalias, amenazas e intentos. Pueden manifestarse en decisiones laborales, perjuicios económicos, intimidación u otras formas contempladas por la ley. La protección no concede inmunidad frente a toda decisión empresarial lícita y ajena a la información: exige examinar los hechos, la relación con la comunicación y las garantías aplicables, sin presunciones automáticas de culpabilidad.
En procedimientos ante órganos judiciales u otras autoridades, el artículo 38.4 prevé una presunción de represalia si se demuestra razonablemente una comunicación protegida y un perjuicio. Quien adoptó la medida debe entonces probar que obedeció a motivos justificados ajenos a la comunicación.
Como práctica organizativa, se ofrece una vía reservada para comunicar posibles represalias y se revisan cambios relevantes con personas autorizadas que no estén afectadas por conflicto de interés. No se traslada forzosamente al informante como única solución sin valorar su impacto. Las medidas de apoyo y protección que correspondan se solicitan ante la autoridad competente; prometer que una política interna garantiza por sí sola inmunidad judicial sería incorrecto.
Fuentes: [1]
Datos personales, registro y conservación
Los artículos 26 y 29 a 33 exigen un tratamiento restringido y proporcionado. El sistema no es un depósito general de historiales médicos, opiniones personales o documentos completos de toda la plantilla. Deben separarse los datos necesarios para decidir si se investiga, la documentación de la investigación y los registros de funcionamiento, con su finalidad y régimen de conservación.
La regla de tres meses del artículo 32 para comunicaciones sin investigación iniciada tiene condiciones y excepciones; el máximo de diez años del libro-registro no obliga a conservar todo durante diez años. También hay reglas específicas de supresión de datos innecesarios o categorías especiales. La organización debe resolver estos tratamientos con asesoramiento de protección de datos y seguridad de acceso, sin trasladar automáticamente información sanitaria al cuadro de mando EHS.
Ejemplo hipotético en una empresa con contratas
Una técnica de una contratista comunica que se han alterado repetidamente registros de comprobación de una instalación. Aporta fechas y describe lo observado, sin extraer bases completas de datos ni acceder a sistemas para los que carece de autorización. El responsable del canal examina el ámbito legal, verifica un medio seguro de contacto y evita que investigue quien aparece implicado.
En paralelo, prevención evalúa la condición actual del equipo y adopta los controles necesarios con información limitada. El expediente conserva decisiones y evidencias obtenidas lícitamente; la comunicación no demuestra por sí sola falsificación ni responsabilidad individual. Si la comprobación no confirma la sospecha, se registra la conclusión y se mantienen las garantías que correspondan. Este ejemplo es una propuesta organizativa, no un caso real ni una resolución anticipada.
Indicadores y relación con la gestión EHS
Los indicadores pueden medir accesibilidad del canal, cumplimiento documentado de plazos, casos con conflicto de interés resuelto, acciones preventivas verificadas y seguimiento de posibles represalias. Son propuestas de gestión; un número bajo de comunicaciones no prueba que falten incumplimientos y puede reflejar desconocimiento o temor. Los informes agregados deben evitar que pequeños grupos permitan identificar a personas concretas.
La conexión con EHS puede trasladar una tarea correctora, su responsable y su comprobación sin replicar la identidad ni el relato sensible. Antes de integrar herramientas se verifican permisos, trazabilidad, conservación y responsabilidades. Un registro ordinario de incidentes no se convierte automáticamente en un sistema conforme a la Ley 2/2023. El valor preventivo está en corregir condiciones y mantener garantías, no en acumular expedientes ni publicar sospechas.
Preguntas frecuentes
¿Todas las quejas de SST quedan protegidas por esta ley?
No automáticamente. Deben comprobarse los ámbitos y condiciones de la Ley 2/2023. Fuera de ella pueden seguir siendo aplicables otras garantías laborales y preventivas.
¿Es obligatorio acudir antes al canal interno?
No como regla general. La ley permite informar directamente al canal externo competente; el interno es preferente cuando resulte eficaz y no se perciba riesgo de represalia.
¿Puede informarse sin identificarse?
Sí. Los canales internos deben permitir comunicaciones anónimas. La confidencialidad de una comunicación identificada es una garantía distinta.
¿Debe esperarse al cierre de la investigación para corregir un peligro?
No. La valoración y el control preventivo urgente tienen su propia operativa y deben coordinarse preservando la información necesaria y la confidencialidad.
