Protocolo del canal de denuncias (Ley 2/2023): qué debe contener y modelo por secciones
Actualizado a junio 2026 · 11 minutos de lectura
Publicado el por el equipo de EticAlert
Tener la plataforma del canal de denuncias activa no basta: la Ley 2/2023 exige que exista un procedimiento documentado de gestión de las informaciones (art. 5.2.h). Ese documento es el protocolo del canal de denuncias: el "manual de instrucciones" interno que dice qué pasa desde que alguien envía una comunicación hasta que se cierra el expediente — quién interviene, en qué orden y con qué plazos. En esta guía te explicamos qué debe contener exactamente y te dejamos un modelo orientativo por secciones para adaptarlo a tu organización.
📋 Contenido de este artículo
Qué es el protocolo del canal de denuncias y qué exige la ley
El protocolo (también llamado procedimiento de gestión de informaciones o procedimiento de tramitación de denuncias) es el documento operativo que regula el ciclo de vida completo de una comunicación dentro del sistema interno de información. La Ley 2/2023 no le da un nombre concreto, pero sí obliga a que exista y a que cumpla unos mínimos:
- El art. 5.2.h exige que el sistema cuente con procedimientos de gestión de las informaciones recibidas.
- El art. 9 detalla el contenido mínimo de ese procedimiento: acuse de recibo en 7 días hábiles, comunicación con el informante, plazo máximo de respuesta de 3 meses, respeto a la presunción de inocencia y derechos de la persona afectada.
- El art. 26 obliga a llevar un libro-registro de las informaciones recibidas, que el protocolo debe regular.
Es decir: la ley describe el resultado y tu protocolo describe el camino. Si la AIPI inspecciona tu sistema, pedirá tres documentos — la política, el protocolo y el libro-registro — y comprobará que lo que dice el papel coincide con lo que hace el canal en la práctica.
Protocolo, política y libro-registro: en qué se diferencian
Estos tres documentos se confunden constantemente, y es habitual encontrar empresas que tienen uno y creen tener los tres. La distinción es sencilla:
| Documento | Qué es | Pregunta a la que responde |
|---|---|---|
| Política del SII | Documento marco aprobado por el órgano de administración | ¿Qué es el canal, quién lo gestiona y qué principios rigen? |
| Protocolo de gestión | Procedimiento operativo paso a paso | ¿Qué hace el RSII con cada denuncia, en qué orden y en qué plazos? |
| Libro-registro | Registro vivo de las comunicaciones recibidas | ¿Qué denuncias han entrado y en qué estado están? |
¿Pueden integrarse política y protocolo en un único documento? Sí, la ley no lo impide, y en pymes pequeñas es frecuente. Aun así, conviene mantenerlos separados: la política casi nunca cambia, mientras que el protocolo se ajusta cuando cambia el RSII, el proveedor del canal o el flujo de tramitación. Tener dos documentos te permite actualizar uno sin tener que volver a llevar el otro al órgano de administración.
Las 7 fases que el protocolo debe regular (con sus plazos)
El esqueleto de cualquier protocolo conforme a la Ley 2/2023 es la secuencia de fases por las que pasa una comunicación. Estas son las siete, con los plazos legales en negrita:
- Recepción. La comunicación entra por cualquiera de los canales habilitados (formulario web, verbal, postal). El sistema debe permitir el anonimato y generar un código de seguimiento para la comunicación bidireccional con el informante.
- Acuse de recibo — máximo 7 días hábiles. El RSII confirma la recepción al informante (art. 9.2.b). Si la denuncia es anónima, el acuse se publica en el hilo del código de seguimiento.
- Admisión a trámite. El RSII verifica que la comunicación entra en el ámbito material del canal y no es manifiestamente infundada. La inadmisión debe motivarse y comunicarse al informante. Recomendado: fijar un plazo interno (por ejemplo, 15 días hábiles).
- Investigación. Comprobación diligente de los hechos: solicitud de información adicional al informante, entrevistas, revisión documental. Aquí el protocolo debe regular la confidencialidad, el conflicto de interés del RSII y los derechos de la persona afectada (presunción de inocencia, derecho a ser informada — art. 9.2.f).
- Resolución y respuesta — máximo 3 meses desde el acuse de recibo, prorrogable a 6 en casos de especial complejidad con notificación al informante (art. 9.2.d). La respuesta indica si se adoptan medidas, sin revelar datos de terceros.
- Derivación, si procede. Si los hechos pueden ser constitutivos de delito, el protocolo debe prever la remisión al Ministerio Fiscal (art. 9.2.j); si afectan a los intereses financieros de la UE, a la Fiscalía Europea.
- Registro y conservación. Anotación en el libro-registro y conservación de la documentación. Los datos personales solo se conservan mientras sean necesarios; el libro-registro, un mínimo de 10 años.
El reloj corre solo: los plazos de 7 días y 3 meses son los dos incumplimientos más fáciles de acreditar en una inspección, porque se comprueban con fechas. Un canal con control de plazos automático (como el de EticAlert, que alerta al RSII antes de cada vencimiento) elimina este riesgo de raíz.
Modelo orientativo de protocolo por secciones
El siguiente esquema es un modelo orientativo. Los campos entre corchetes [XXXX] se completan con los datos de tu organización. Si tu empresa pertenece a un sector regulado o a un grupo, contrástalo con tu asesor legal antes de aprobarlo.
PROTOCOLO DE GESTIÓN DEL CANAL DE DENUNCIAS
[NOMBRE DE LA EMPRESA] · Versión [1.0] · Aprobado el [DD/MM/AAAA]
1. OBJETO
Este protocolo desarrolla el procedimiento de gestión de las informaciones recibidas a través del Sistema Interno de Información de [NOMBRE DE LA EMPRESA], en cumplimiento de los artículos 5.2.h y 9 de la Ley 2/2023, de 20 de febrero. Complementa la Política del Sistema Interno de Información aprobada el [DD/MM/AAAA].
2. RESPONSABLES DE LA TRAMITACIÓN
La tramitación corresponde al RSII, [NOMBRE / CARGO]. En caso de ausencia o conflicto de interés, asume la tramitación [CARGO SUSTITUTO / PROVEEDOR EXTERNO]. El informante puede excluir de la tramitación a personas concretas cuando concurra conflicto de interés, indicándolo en el formulario de comunicación.
3. RECEPCIÓN Y ACUSE DE RECIBO
Las comunicaciones se reciben a través de [URL DEL CANAL] y de los demás medios previstos en la Política. El RSII remitirá acuse de recibo al informante en un plazo máximo de siete días hábiles. En comunicaciones anónimas, el acuse se emitirá a través del código de seguimiento.
4. ADMISIÓN A TRÁMITE
En un plazo orientativo de [15] días hábiles, el RSII resolverá sobre la admisión. Serán inadmitidas, de forma motivada: (a) las comunicaciones ajenas al ámbito material del sistema; (b) las manifiestamente infundadas; (c) las que carezcan de verosimilitud mínima. La inadmisión se comunicará al informante, informándole de la posibilidad de acudir al canal externo de la AIPI.
5. INSTRUCCIÓN E INVESTIGACIÓN
El RSII practicará las diligencias necesarias: requerimientos de información al informante, entrevistas, revisión de documentación y sistemas. Toda persona que participe en la instrucción queda sujeta al deber de confidencialidad. La persona afectada será informada de los hechos relatados de forma sucinta, sin revelar la identidad del informante, y tendrá derecho a ser oída y a la presunción de inocencia.
6. FINALIZACIÓN
La instrucción finalizará mediante informe del RSII con una de estas conclusiones: (a) archivo por falta de indicios; (b) traslado al órgano competente para la adopción de medidas disciplinarias; (c) remisión al Ministerio Fiscal si los hechos pudieran ser constitutivos de delito (o a la Fiscalía Europea si afectan a los intereses financieros de la UE). El resultado se comunicará al informante en un plazo máximo de tres meses desde el acuse de recibo, prorrogable a seis en casos de especial complejidad.
7. REGISTRO Y CONSERVACIÓN
Toda comunicación se anotará en el libro-registro con su fecha de recepción, código, estado de tramitación y resolución. El libro-registro se conservará durante un mínimo de diez años. Los datos personales que no resulten necesarios se suprimirán conforme al art. 32 de la Ley 2/2023 y al RGPD.
8. REVISIÓN DEL PROTOCOLO
El protocolo se revisará [anualmente] y siempre que cambien el RSII, el proveedor del canal o la normativa aplicable. Las versiones quedarán archivadas con su fecha de aprobación.
Versión [1.0] — Aprobado por [ÓRGANO] el [DD/MM/AAAA] — Próxima revisión: [DD/MM/AAAA+1 año]
Aprobación, comunicación y revisión
El protocolo sigue el mismo circuito formal que la política: lo redacta el RSII (o el asesor externo), lo aprueba el órgano de administración y se comunica a la plantilla. Tres detalles que conviene no saltarse:
- Acta de aprobación. Guarda el acuerdo firmado con fecha. En una inspección, la AIPI comprueba que el procedimiento estaba aprobado antes de las denuncias que tramitaste con él.
- Coherencia con el canal real. Si el protocolo dice "acuse en 7 días" pero tu buzón de email no registra fechas, no puedes demostrar el cumplimiento. El documento y la herramienta tienen que contarse la misma historia.
- Versionado. Cada revisión genera una versión nueva con fecha. Las denuncias se tramitan con la versión vigente en el momento de su recepción.
Los 4 errores que más detecta la AIPI en los protocolos
- Plazos genéricos. "Se responderá lo antes posible" no es un plazo. Los 7 días hábiles y los 3 meses deben figurar textualmente.
- No regular el conflicto de interés. Si la denuncia afecta al propio RSII y el protocolo no prevé quién tramita en su lugar, el sistema queda bloqueado — y eso es responsabilidad de la empresa.
- Olvidar a la persona afectada. El procedimiento debe garantizar sus derechos (información, audiencia, presunción de inocencia). Un protocolo volcado solo en el informante está incompleto.
- No prever la derivación a Fiscalía. El art. 9.2.j la exige expresamente como parte del contenido mínimo del procedimiento.
El protocolo, ya implementado en el producto
EticAlert aplica este flujo de serie: acuse automático, control de plazos de 7 días y 3 meses con alertas al RSII, exclusión de gestores por conflicto de interés y libro-registro siempre al día. Activo en 5 minutos, desde 9€/mes.
Activar mi canal → Ver cómo funciona →Recursos relacionados: