La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante, Ley 2/2023), ha irrumpido en la organización interna de un buen número de empresas y entidades con una obligación que, a primera vista, parece sencilla: implantar un canal de denuncias, designar un Responsable del Sistema Interno de Información (RSII) y, eventualmente, comunicar ese nombramiento a la autoridad competente. En la práctica, sin embargo, esta última obligación genera una pregunta nada trivial para los despachos profesionales y asesorías: ¿existe realmente esa obligación de comunicación? Y, si existe, ¿ante qué autoridad —estatal o autonómica— debe cumplirse?

En este artículo analizamos ambas cuestiones, con especial atención a la situación de los sujetos que operan exclusivamente en Galicia y a los criterios que, a nuestro juicio, deben presidir la determinación de la autoridad competente.

I. ¿Qué despachos y asesorías están obligados por la Ley 2/2023?

La pregunta de fondo —¿a quién afecta la Ley 2/2023?— es el punto de partida necesario. Con carácter general, la obligación de disponer de un sistema interno de información surge para las empresas privadas con cincuenta o más trabajadores. Sin embargo, la Ley establece que determinadas entidades quedan sujetas con independencia de su tamaño, entre las que se incluyen los sujetos obligados por la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo.

Así, los despachos y asesorías que realizan actividades sometidas a la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo —fundamentalmente: asesoramiento en operaciones inmobiliarias, constitución de sociedades y estructuras jurídicas, gestión de fondos, cuentas o valores de clientes, o actuaciones notariales o registrales en nombre del cliente— quedan obligados al margen del número de empleados. Se trata de un umbral cualitativo, no cuantitativo: basta con que la entidad ejerza alguna de esas actividades de forma profesional.

La práctica ha demostrado que son pocos los pequeños despachos y asesorías que alcanzan los cincuenta trabajadores. La vía de entrada más frecuente en el ámbito profesional es, por tanto, la de los sujetos obligados por la Ley 10/2010; algo que conviene tener presente antes de analizar la cuestión competencial.

II. La obligación de comunicar el nombramiento del RSII

Una vez que el sujeto queda obligado, la Ley 2/2023 le exige designar un RSII. A continuación surge la pregunta práctica: ¿es obligatorio comunicar ese nombramiento a alguna autoridad? La respuesta es afirmativa, aunque condicionada. El artículo 8.7 de la Ley 2/2023 establece que “el responsable del sistema interno de información será comunicado a la autoridad independiente de protección del informante u órgano autonómico competente, en la forma y plazos que se establezcan reglamentariamente”.

Conviene subrayar que la Ley condiciona expresamente el régimen de la comunicación al desarrollo reglamentario, que a fecha de este artículo todavía no se ha producido con carácter pleno en todos los aspectos procedimentales. No obstante, la obligación existe desde la entrada en vigor de la Ley y las autoridades ya han comenzado a operar sus registros. La cuestión es, pues, ante cuál de ellas debe cumplirse.

III. El reparto de competencias: AIPI estatal vs. autoridades autonómicas

La Ley 2/2023 creó la Autoridad Independiente de Protección del Informante (A‑IPI) como organismo estatal competente con carácter general. Sin embargo, reconoce expresamente que las comunidades autónomas pueden atribuir competencias equivalentes a sus propios organismos, dentro del ámbito de sus competencias.

Galicia fue una de las comunidades que ya disponía de infraestructura institucional previa. La Ley 1/2016, de 18 de enero, de transparencia y buen gobierno de Galicia, fue modificada para incorporar la Autoridade Galega de Protección da Integridade Pública (AGPI), dotada de competencias en materia de canales de denuncia y protección del informante. El artículo 51 quinquies.2 de dicha Ley es el precepto clave para delimitar el ámbito autonómico:

Este precepto enmarca la competencia autonómica en términos aparentemente funcionales o materiales: lo que importa, en principio, es el lugar donde se producen los hechos que podrían ser objeto de comunicación, y no necesariamente dónde tiene su domicilio la entidad.

IV. El criterio aplicado por la AGPI: la doctrina sobre sindicatos y partidos políticos

La AGPI se ha pronunciado recientemente sobre qué entidades deben realizar las comunicaciones ante ella, con ocasión de consultas formuladas por sindicatos, partidos políticos y organizaciones empresariales. Su criterio, en síntesis, ha sido el siguiente:

Únicamenté deben comunicar ante la AGPI aquellas entidades cuyo ámbito territorial de actuación, conforme a sus estatutos, se circunscriba exclusivamente a la Comunidad Autónoma de Galicia, sin que trascienda dicho ámbito geográfico.

Se trata, por tanto, de un criterio formal o estatutario: lo que determinan los propios estatutos de la organización. Una central sindical de implantación exclusivamente gallega comunicará ante la AGPI; una con ámbito estatal, ante la A‑IPI.

El problema surge cuando se intenta trasladar este criterio a los despachos profesionales y asesorías. Estas entidades no tienen «ámbito territorial» definido en sus estatutos de un modo equivalente al de los sindicatos o partidos. Un despacho de abogados de Vigo puede asesorar a clientes de cualquier comunidad autónoma; su actividad no queda delimitada geográficamente por ninguna norma interna. El criterio de la AGPI, de base estatutaria, no es, pues, directamente trasladable a estas organizaciones.

V. La incertidumbre sobre el criterio aplicable a las empresas privadas

El tenor literal del artículo 51 quinquies.2 apunta a un criterio funcional o material: la competencia de la AGPI se activa cuando las informaciones o hechos comunicados a través del canal “se circunscriban de modo exclusivo al ámbito territorial de la Comunidad Autónoma de Galicia”. Llevado a sus últimas consecuencias, este enunciado conduce a conclusiones prácticamente inaplicables:

— Una empresa domiciliada en Madrid, pero con toda su actividad operativa en Galicia, podría quedar bajo competencia de la AGPI.

— Una empresa domiciliada en Vigo, pero con establecimientos o clientes en varias comunidades autónomas, quedaría fuera del ámbito autonómico.

La propia AGPI, consciente de la dificultad de aplicar un criterio puramente material en el registro del RSII, ha matizado su posición: las notificaciones al registro autonómico dependerán del domicilio social y de la ubicación de los centros de trabajo en Galicia, circunscriendo la competencia a los sistemas cuyo ámbito geográfico y administrativo coincida con la comunidad gallega. Es un paso en la dirección correcta, pero la formulación sigue siendo ambigua.

VI. Nuestra propuesta: el criterio del establecimiento

A nuestro juicio, la solución más coherente —y la más próxima al derecho mercantil y a la práctica administrativa— es la que atiende a dónde tiene centros de trabajo o establecimientos la entidad, con independencia de dónde facture o de la extensión geográfica de su clientela. El razonamiento es el siguiente:

1. Claridad y objetividad. El criterio del domicilio o del establecimiento es objetivo y verificable. El número de empleados por centro, la existencia de instalaciones físicas y la ubicación de centros de trabajo son datos indubitados, no sujetos a interpretación.

2. Coherencia con el derecho mercantil y laboral. La distribución de competencias en materias como la inspección de trabajo o el registro de convenios colectivos sigue también la lógica del establecimiento. Es natural extender ese mismo criterio al ámbito del canal de denuncias.

3. Evita la fragmentación. Si una empresa tiene establecimientos en Galicia y en otras comunidades autónomas, la comunicación ante la A‑IPI estatal evita la duplicidad de registros y la inseguridad jurídica que generaría tener que determinar, denuncia a denuncia, en qué territorio se producen los hechos.

4. Corrección del criterio material. La Ley habla de que la competencia autonómica alcanza a los incumplimientos “que produzcan efectos únicamente en el territorio de dicha comunidad autónoma”. Esta expresión debe leerse en clave institucional —qué autoridad tiene capacidad real de instruir e investigar los hechos—, no como exigencia de un análisis caso a caso de la extensión geográfica de cada potencial denuncia.

VII. Conclusiones

La obligación de comunicar el nombramiento del RSII existe para todos los sujetos obligados —incluidos los despachos y asesorías sometidos a la Ley 10/2010 de prevención del blanqueo de capitales— aunque el régimen procedimental está pendiente de pleno desarrollo reglamentario.

La determinación de la autoridad competente —AGPI o A‑IPI— no admite aún una respuesta única y definitiva, dado que la AGPI no se ha pronunciado expresamente sobre las empresas privadas en los mismos términos en que lo ha hecho respecto de sindicatos y partidos. Está por ver si seguirá un criterio equivalente.

En tanto no existe ese pronunciamiento, propugnamos el criterio del establecimiento: comunicación ante la AGPI si todos los establecimientos radican en Galicia; ante la A‑IPI si la entidad opera en más de una comunidad autónoma. Es el criterio más práctico, más coherente con el resto del ordenamiento y más respetuoso con el principio de seguridad jurídica.

Seguiremos atentos a los pronunciamientos de la AGPI en esta materia. Si tiene dudas sobre cómo adaptar su despacho o asesoría a la Ley 2/2023, no dude en contactar con nosotros.

Y recuerda:

El plazo transitorio vence hoy mismo, 10 de abril de 2026.

La cronología es la siguiente: la AIPI entró en funcionamiento el 1 de septiembre de 2025. El 10 de febrero de 2026 habilitó en su sede electrónica el formulario de comunicación del RSII, y la Disposición Transitoria Única del Real Decreto 1101/2024 (Estatuto de la AIPI) estableció un plazo de dos meses desde esa fecha para notificar todos los nombramientos y ceses producidos desde la entrada en vigor de la Ley 2/2023. Esos dos meses se cumplen hoy.

Si tienes que notificar al Estado, el trámite se realiza exclusivamente a través de la sede electrónica de la AIPI: sede.proteccioninformante.gob.es.

Para los nombramientos futuros el plazo ordinario es de 10 días hábiles desde el nombramiento o cese.

Es por ello que hay que mencionar que ya está activo el registro y que el período extraordinario ha concluido.

Este artículo tiene finalidad exclusivamente informativa y no constituye asesoramiento jurídico. Las referencias normativas y criterios interpretativos descritos son orientativos. Para cada caso concreto, consulté con su abogado.

ADENDA Consultoría Jurídica S.L. — Vigo (Pontevedra) — Diego Estévez García, Abogado, n.º col. 2549 ICA Vigo