Dejan Jasnic · Cofondateur et responsable conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil de l’ACFE Swiss Chapter
Oui. En vertu de la loi espagnole 2/2023, tout employeur privé d’au moins 50 salariés doit disposer d’un canal de signalement interne, tout comme l’ensemble des entités du secteur public. Certaines entités privées y sont tenues quelle que soit leur taille, notamment celles soumises aux règles européennes sur les services financiers, la lutte contre le blanchiment, la sécurité des transports et l’environnement, ainsi que les partis politiques, syndicats et organisations patronales qui reçoivent des fonds publics. Le dispositif doit recevoir les signalements écrits ou oraux, accepter les signalements anonymes et disposer d’un responsable désigné, le Responsable del Sistema. L’absence de canal lorsqu’il est obligatoire peut constituer une infraction très grave, punie d’une amende pouvant atteindre 1 million d’euros pour les entreprises.
Ce guide explique qui doit disposer d’un canal de signalement, ce que le canal doit permettre et qui fait appliquer la loi. Pour une vue d’ensemble de la loi elle-même, consultez notre article sur la loi 2/2023 : protection des lanceurs d’alerte.
la Ley 2/2023
Un canal interne conforme, sans le développer vous-même. Trusty Whistleblowing répond aux exigences de la loi 2/2023 avec le signalement anonyme, une boîte de réception bidirectionnelle et le suivi automatique des délais de 7 jours et de 3 mois.
Réponse courte : qui doit disposer d’un canal
- Secteur privé : personnes physiques et entreprises d’au moins 50 salariés (article 10.1.a).
- Secteurs et organisations spécifiques : quel que soit l’effectif (articles 10.1.b et 10.1.c).
- Secteur public : toutes les entités qui composent le secteur public (article 13).
Les échéances sont dépassées. La plupart des entités assujetties avaient jusqu’au 13 juin 2023. Les entités privées comptant jusqu’à 249 salariés et les municipalités de moins de 10 000 habitants avaient jusqu’au 1er décembre 2023. Les entités non assujetties peuvent mettre en place un système à titre volontaire.
Entreprises tenues d’avoir un canal quelle que soit leur taille
L’article 10.1.b vise les entités privées relevant des actes de l’UE énumérés aux parties I.B et II de l’annexe de la directive sur les lanceurs d’alerte, directive (UE) 2019/1937. Ils couvrent :
- les services, produits et marchés financiers ;
- la prévention du blanchiment de capitaux et du financement du terrorisme ;
- la sécurité des transports ;
- la protection de l’environnement.
L’article 10.1.c ajoute les partis politiques, les syndicats, les organisations patronales et les fondations qu’ils créent, lorsqu’ils reçoivent ou gèrent des fonds publics.
Si vous n’êtes pas certain que votre activité relève de l’un de ces actes de l’UE, demandez conseil. Au sein d’un groupe, chaque société doit évaluer si elle est elle-même assujettie, comme le souligne la recommandation 1/2026 de l’AAI.
Ce que le canal doit permettre
- Écrit, oral ou les deux. Les signalements peuvent être effectués par écrit, oralement ou des deux façons. À la demande de l’auteur du signalement, une réunion en face à face doit avoir lieu dans un délai de sept jours (article 7.2).
- Signalements anonymes. Les canaux internes doivent permettre le dépôt et le suivi de signalements anonymes (article 7.3).
- Confidentialité. Le système doit protéger l’identité de l’auteur du signalement et de tout tiers mentionné dans un signalement.
- Responsable del Sistema. L’organe de direction désigne la personne responsable du système, qui, dans le secteur privé, devrait être un cadre dirigeant. La nomination et toute révocation doivent être notifiées à l’AAI, ou à l’autorité régionale compétente, dans un délai de dix jours ouvrables (article 8.3).
- Délais. Accuser réception dans un délai de sept jours calendaires (article 9.2.c). Répondre dans un délai maximal de trois mois à compter de la réception, prolongeable de trois mois supplémentaires au maximum dans les cas particulièrement complexes (article 9.2.d).
- Droits de la personne concernée. Elle a le droit d’être informée des actes ou omissions qui lui sont imputés (article 9.2.f).
- Tenue des registres. Tenir un registre (libro-registro) des signalements reçus. Les données ne peuvent jamais être conservées plus de dix ans (article 26). Les données doivent être supprimées du système trois mois après la réception si aucune enquête n’a été ouverte, sauf si elles sont conservées pour démontrer le fonctionnement du système (article 32.4).
- Consultation. L’organe de direction met en œuvre le système après consultation des représentants légaux des travailleurs (article 5).
Notre protocole de canal de signalement et notre guide sur les types de plaintes pouvant être déposées détaillent davantage la procédure.
suivis pour vous
Gardez en vue les délais de 7 jours et de 3 mois. Trusty envoie des accusés de réception automatiques, suit chaque échéance et conserve des dossiers de cas inaltérables, avec des durées de conservation configurables et des rappels de suppression.
Groupes de sociétés et canaux partagés
- Groupes. La société mère approuve une politique générale relative au système de signalement interne, et le groupe peut disposer d’un système unique et d’un seul Responsable del Sistema (article 11).
- Ressources partagées. Les entreprises de 50 à 249 salariés peuvent, si elles le souhaitent, partager le système et ses ressources (article 12).
- Externalisation. La gestion du système, y compris la réception des signalements, peut être confiée à un tiers externe. La responsabilité demeure celle de l’entité assujettie (article 6).
- Secteur public. Les municipalités de moins de 10 000 habitants peuvent partager des ressources (article 14). Les entités publiques ne peuvent externaliser la gestion que si elles démontrent que leurs propres ressources sont insuffisantes (article 15).
Amendes
La loi 2/2023 classe les infractions en très graves, graves ou légères. Le fait de ne pas disposer d’un système de signalement interne comme l’exige la loi peut constituer une infraction très grave. Pour les infractions très graves, les amendes vont de 600 001 € à 1 000 000 € pour les personnes morales et de 30 001 € à 300 000 € pour les personnes physiques. Les infractions graves et légères entraînent des amendes moins élevées.
Les infractions très graves peuvent également entraîner des mesures accessoires : un blâme public, une interdiction de recevoir des subventions publiques ou de conclure des contrats publics et, pour les personnes morales, la publication de la sanction au Bulletin officiel de l’État (BOE).
Qui fait appliquer la loi : l’AAI et les autorités régionales
L’Autorité indépendante de protection des lanceurs d’alerte (Autoridad Independiente de Protección del Informante, A.A.I.) est l’autorité nationale. Son statut a été approuvé par le décret royal 1101/2024 du 29 octobre. Manuel Villoria Mendieta a été nommé président en avril 2025, et l’autorité a commencé à fonctionner le 1er septembre 2025.
Depuis octobre 2026, l’AAI gère un canal externe qui accepte les signalements, y compris anonymes. Elle a ouvert son guichet électronique pour les notifications relatives au Responsable del Sistema en février 2026 et a publié des recommandations, dont la recommandation 1/2026 sur les systèmes de signalement interne. Le secteur privé relève de sa compétence. Sa page d’actualités ne mentionne, à ce jour, aucune sanction.
Plusieurs communautés autonomes disposent de leurs propres autorités, telles que l’Oficina Antifrau de Catalunya, l’Agència Valenciana Antifrau, dont la compétence est limitée au secteur public, et l’Oficina Andaluza contra el Fraude y la Corrupción. En septembre 2026, l’AAI a rencontré les autorités régionales de neuf communautés afin de coordonner leurs travaux. En savoir plus sur l’Autorité indépendante de protection des lanceurs d’alerte.
Comment Trusty Whistleblowing aide
Trusty Whistleblowing répond aux exigences de la loi 2/2023 avec un canal de signalement qui accepte, au choix de l’organisation, des signalements anonymes ou identifiés, et permet aux auteurs de signalements anonymes de poursuivre le dialogue via une boîte de réception sécurisée. Les auteurs peuvent demander une réunion via la boîte de réception, et l’offre Advanced ajoute le signalement vocal via navigateur. Les accusés de réception sont automatiques, les délais de 7 jours et de 3 mois sont suivis, et les dossiers de cas sont inaltérables.
Les durées de conservation sont configurables avec des rappels de suppression, les données sont hébergées dans un centre de données certifié ISO 27001 en Allemagne, et un accord de traitement des données est disponible pour chaque client.
Vous recherchez un canal de signalement pour votre entreprise en Espagne ? Trusty met en place un canal de signalement interne à partir de 49 € par mois.
Cet article fournit des informations générales et ne constitue pas un avis juridique. Sources : Ley 2/2023, de 20 de febrero (BOE) ; AEPD, Informe 0060/2023 ; Agència Valenciana Antifrau, 88 preguntas y respuestas ; Real Decreto 1101/2024 ; Real Decreto 328/2025 ; Orden PJC/908/2025 ; Autoridad Independiente de Protección del Informante ; actualités de l’AAI, 22 septembre 2026.
Questions fréquentes
Oui, pour les employeurs privés d’au moins 50 salariés, pour toutes les entités du secteur public et pour certaines entités quelle que soit leur taille, notamment celles relevant des règles de l’UE sur les services financiers, le blanchiment de capitaux, la sécurité des transports et l’environnement.
En règle générale, non. Elle le doit si elle relève de la règle sectorielle de l’article 10.1.b, ou s’il s’agit d’un parti politique, d’un syndicat, d’une organisation patronale ou d’une fondation liée qui reçoit ou gère des fonds publics. Les petites entreprises peuvent également mettre en place un canal à titre volontaire.
Oui. L’article 6 permet de confier la gestion du système, y compris la réception des signalements, à un tiers externe. L’entreprise demeure responsable de la conformité.
Oui. L’article 7.3 exige que les canaux internes permettent le dépôt et le suivi de signalements anonymes.
Le fait de ne pas disposer d’un système de signalement interne requis peut constituer une infraction très grave, passible d’amendes de 600 001 € à 1 000 000 € pour les personnes morales et de 30 001 € à 300 000 € pour les personnes physiques, ainsi que de possibles mesures accessoires.
à la directive européenne et au RGPD
Logiciel de signalement simplifié, conçu par des experts de la conformité.