Hasta dónde pueden llegar las multas
La Ley 2/2023 establece un régimen sancionador para personas físicas y jurídicas. Para las personas jurídicas, las infracciones muy graves pueden sancionarse entre 600.001 y 1.000.000 de euros; las graves, entre 100.001 y 600.000 euros; y las leves, hasta 100.000 euros.
Para personas físicas, las cuantías llegan hasta 300.000 euros en las infracciones muy graves. La cifra máxima no es la única consecuencia: determinadas infracciones muy graves pueden implicar amonestación pública, prohibición de obtener subvenciones o beneficios fiscales y prohibición de contratar con el sector público.
No implantar el sistema puede ser una infracción muy grave
El incumplimiento de la obligación de disponer de un Sistema Interno de Información se tipifica como infracción muy grave. El riesgo no se limita a no publicar una URL: un sistema aparente que no permite gestionar comunicaciones con las garantías legales puede exponer también a la entidad.
La valoración concreta dependerá de los hechos, la responsabilidad, la intencionalidad y las circunstancias del caso. Por eso no debe presentarse automáticamente la multa máxima como si fuera inevitable, pero tampoco minimizar una obligación cuyos plazos de implantación ya vencieron.
Otras conductas sancionables
El régimen incluye conductas que afectan directamente a la confianza en el sistema. Obstaculizar comunicaciones, incumplir la confidencialidad, adoptar represalias o vulnerar las garantías del informante puede generar responsabilidad incluso cuando existe una plataforma.
- Impedir o intentar impedir la presentación o seguimiento de una comunicación.
- Adoptar represalias contra una persona protegida.
- Quebrantar la confidencialidad o revelar indebidamente la identidad.
- Comunicar o revelar información sabiendo que es falsa.
- Incumplir obligaciones de colaboración con la autoridad competente.
Qué evidencia una organización diligente
La defensa frente al riesgo no consiste en acumular documentos, sino en demostrar que el sistema funciona. Debe existir acuerdo de implantación, responsable notificado, política, procedimiento, acceso visible, plataforma segura, formación y un circuito probado.
También conviene conservar evidencias de revisiones, actualizaciones, accesos, tratamiento de conflictos y cumplimiento de plazos. La organización debe poder explicar qué hizo antes, durante y después de cada comunicación sin exponer innecesariamente su contenido.
Plan mínimo para corregir una carencia
Si la entidad está obligada y todavía no dispone de sistema, el primer paso es reconocer el alcance pendiente y asignar un responsable del proyecto. La plataforma puede activarse rápidamente, pero debe acompañarse del acuerdo, la política y el procedimiento.
- Confirmar obligación y órgano competente.
- Designar y comunicar el Responsable del Sistema.
- Aprobar política y procedimiento.
- Activar y probar el canal escrito y verbal.
- Publicar el acceso y formar a quienes lo gestionarán.
Enlaces útiles
Dudas frecuentes
¿La multa por no tener canal es siempre de un millón de euros?
No. Un millón es el máximo previsto para personas jurídicas por infracciones muy graves. La sanción concreta debe graduarse según la ley y las circunstancias del caso.
¿Basta con crear una dirección de correo para evitar la sanción?
No necesariamente. La obligación se refiere a un Sistema Interno de Información con garantías, responsable, política y procedimiento; una dirección de correo por sí sola no resuelve todos esos elementos.
Qué hacer ahora
Si este artículo encaja con tu caso, el siguiente paso útil no es seguir acumulando teoría, sino validar el encaje operativo y elegir una vía clara para activar el canal.
Puedes revisar planes, configurar directamente tu canal o hablar con nosotros si prefieres aterrizar primero el caso concreto.