Descripción
Qué es este producto
El Kit Documental Autoalojado es el conjunto de documentos y software que una empresa necesita para constituir y operar el Sistema Interno de Información que exige la Ley 2/2023, de 20 de febrero, comúnmente llamada ley del canal de denuncias.
No es una plataforma en alquiler. Son 14 documentos editables, un formulario web autocontenido y un receptor que se instalan en tu propio alojamiento y pasan a ser propiedad de tu empresa.
A quién obliga la Ley 2/2023
- Empresas del sector privado con 50 o más personas trabajadoras (art. 10.1.a).
- Entidades sujetas a normativa sectorial —blanqueo de capitales, mercados financieros, seguridad del transporte, medio ambiente— con independencia de su tamaño (art. 10.1.b).
- Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, si reciben o gestionan fondos públicos (art. 10.1.c).
El plazo venció el 1 de diciembre de 2023 para las entidades de 50 a 249 personas. No disponer del Sistema en los términos exigidos está tipificado como infracción muy grave en el art. 63.1.g), con multa de 600.001 a 1.000.000 € para persona jurídica (art. 65).
Qué incluye
Documentos legales
- SII-REG-01 Reglamento del Sistema Interno de Información.
- SII-POL-02 Política de Protección del Informante.
- SII-PRO-03 Procedimiento de Gestión de Comunicaciones, con el cómputo de plazos del art. 9.2 y la fase de comunicación verbal y presencial del art. 7.2.
- SII-ACT-04 Acta de Nombramiento del Responsable del Sistema.
- SII-ACT-13 Acta de Consulta Previa a la Representación Legal (art. 5.1), con modelo alternativo si no hay representación constituida.
Plantillas operativas
- SII-PLT-05 Acuse de recibo, plazo de 7 días naturales (art. 9.2.c).
- SII-PLT-06 Comunicación de resolución y de ampliación motivada de plazo.
- SII-PLT-14 Acta de comunicación verbal o presencial y consentimiento de grabación o transcripción (art. 7.2).
Registro y verificación
- SII-REG-07 Libro-registro en hoja de cálculo. Calcula solo la fecha límite de acuse, la de resolución, la de supresión del art. 32.3 y el tope de conservación del art. 26.2, y avisa cuando alguno se supera.
- SII-CHK-11 Checklist de autoverificación: 6 puntos críticos y 25 comprobaciones adicionales, cada una con su artículo.
Guías e implantación
- SII-GUI-08 Guía de instalación del canal autoalojado.
- SII-COM-09 Comunicado interno para la plantilla.
- SII-WEB-10 Texto para la web, con el contenido mínimo del art. 25 y la comprobación de publicación en página de inicio.
- SII-GUI-12 Guía de notificación del Responsable del Sistema a la autoridad competente (art. 8.3), con modelo de certificado del acuerdo.
Aplicación
- MIM-APP-01 Formulario del canal. Archivo HTML autocontenido, sin librerías externas.
- canal-receptor.php Receptor para tu propio servidor. Archiva fuera del área pública y avisa al Responsable del Sistema con los plazos ya calculados.
Los 14 documentos se entregan en formato editable y en PDF.
Cómo funciona el anonimato del canal
El formulario sustituye en el navegador de la persona informante los datos con formato reconocible: documentos de identidad, cuentas e IBAN, teléfonos, correos, enlaces, matrículas, tarjetas, números de afiliación a la Seguridad Social y fechas exactas.
Después muestra el texto exacto que se va a transmitir y permite ocultar cualquier resto seleccionándolo. Los nombres propios no se detectan automáticamente y es deliberado: detectarlos por listas daría falsos negativos y, sobre todo, confianza en un filtro que deja pasar precisamente lo que identifica. El control final lo tiene quien conoce el contexto.
El relato original no sale del equipo de quien informa. El formulario no registra dirección IP ni datos del navegador.
Los seis puntos donde se cae un canal que ya existe
Casi ninguna empresa obligada carece hoy de canal. Lo que falla es el expediente que hay detrás. El kit cubre los seis:
- Notificación del Responsable (art. 8.3). Nombrarlo por acta interna no agota la obligación: hay que comunicarlo a la autoridad competente en diez días hábiles.
- Cómputo del plazo de respuesta (art. 9.2.d). Los tres meses se cuentan desde la recepción de la comunicación, no desde el acuse de recibo. Contarlo mal desplaza el vencimiento hasta siete días.
- Vía verbal y reunión presencial (art. 7.2). A solicitud de quien informa, debe poder presentarse en reunión presencial en un máximo de siete días, documentada mediante grabación o transcripción previo consentimiento. Un canal solo web no lo cubre.
- Publicación del canal (art. 25). Debe constar en la página de inicio de la web, en sección separada e identificable. No basta con el aviso legal.
- Conservación y supresión (arts. 26.2 y 32). Máximo diez años y supresión a los tres meses si no se inician actuaciones. Conservar de más también es incumplir.
- Consulta previa (art. 5.1). La implantación exige consulta previa a la representación legal de las personas trabajadoras, y debe acreditarse.
Pago único frente a cuota mensual: la comparación honesta
Hay plataformas de canal de denuncias desde unos 100–250 € al año que incluyen alojamiento, acuses automáticos y actualizaciones. Si lo que buscas es solo el buzón y no quieres tocar nada, una cuota puede salirte mejor y te lo decimos antes de que compres.
Este producto es la otra cosa: la capa documental firmada, la que una plataforma no emite. Ante un requerimiento, lo que se aporta es el procedimiento aprobado, la evidencia de consulta previa, el libro-registro con su política de supresión y el justificante de notificación del Responsable. Eso no lo genera un software.
Preguntas frecuentes
¿Desde cuándo se cuentan los tres meses para resolver una denuncia interna?
Desde la recepción de la comunicación. Si no se remitió acuse de recibo, desde el vencimiento del plazo de siete días posterior a la comunicación. Así lo fija el art. 9.2.d) de la Ley 2/2023. En casos de especial complejidad puede ampliarse hasta tres meses adicionales, de forma motivada y antes del vencimiento del plazo inicial.
¿Hay que notificar el Responsable del Sistema a la AIPI?
Sí. El art. 8.3 obliga a comunicar el nombramiento y el cese a la autoridad competente en el plazo de diez días hábiles. La sede electrónica de la Autoridad Independiente de Protección del Informante habilitó el formulario el 10 de febrero de 2026 y el plazo extraordinario para regularizar los nombramientos anteriores venció el 10 de abril de 2026. La obligación sigue vigente: notificar fuera de plazo es mejor que no notificar.
¿Cuánto tiempo hay que conservar las denuncias?
La ley fija un máximo, no un mínimo. Los datos se conservan solo el tiempo imprescindible para decidir si procede investigar. Transcurridos tres meses desde la recepción sin haberse iniciado actuaciones, deben suprimirse, o conservarse anonimizados si la finalidad es dejar evidencia del funcionamiento del sistema (art. 32). En ningún caso más de diez años (art. 26.2).
¿Vale un buzón de correo como canal de denuncias?
Un buzón de correo no permite la comunicación anónima que exige el art. 7.3, porque registra la dirección del remitente, y no acredita por sí solo el procedimiento de gestión, el libro-registro ni los plazos. El canal es el conjunto del sistema, no el buzón.
¿Necesito contratar un software de pago mensual?
No para este producto. El formulario y su receptor se instalan en el alojamiento web que tu empresa ya paga. No requieren base de datos, ni framework, ni suscripción a ningún servicio. Requisito técnico: PHP 7.4 o superior y envío de correo, disponible en cualquier alojamiento compartido estándar.
¿Y si mi empresa tiene menos de 50 personas?
Por número de plantilla no estás obligada. Sí lo estás, con independencia del tamaño, si entras en los supuestos del art. 10.1.b) o 10.1.c). Implantarlo de forma voluntaria es una decisión de gestión razonable, pero conviene saber que un canal por sí solo no exime de responsabilidad penal a la persona jurídica: eso exige un modelo de organización y gestión completo conforme al art. 31 bis del Código Penal.
Qué NO incluye
Se indica aquí para que lo resuelvas por otra vía, no para que lo descubras en una inspección:
- La designación del delegado de protección de datos que exige el art. 34 a las entidades obligadas. MIM Ingeniería no presta ese servicio ni actúa como delegado. Es obligación de tu entidad y debe resolverse con un proveedor especializado.
- La gestión del Sistema por tercero externo del art. 6: MIM no recibe, tramita ni custodia comunicaciones de tus informantes.
- La defensa jurídica en un procedimiento sancionador o judicial.
- La investigación material de los expedientes, que corresponde al Responsable del Sistema.
- El registro de actividades de tratamiento y la evaluación de impacto, cuando procedan.
MIM Ingeniería no es entidad certificadora ni está acreditada por ENAC para esta materia. Emite documentación técnica firmada por ingeniera industrial colegiada, no certificados.
Advertencia técnica sobre el anonimato
El formulario y el receptor están escritos para no registrar la dirección IP de quien informa. Tu proveedor de alojamiento puede estar registrándola en su log de acceso, con independencia de este software. Antes de afirmar públicamente que el canal es anónimo, solicita a tu proveedor la exclusión o anonimización de la ruta del canal en ese log y conserva la respuesta por escrito. La guía de instalación incluye el texto alternativo por si tu proveedor no lo permite.
Quién lo firma
María Isabel Mateos Núñez, Ingeniera Industrial Colegiada COIIEX nº 508. Toda referencia normativa de este kit está anclada al texto consolidado de la Ley 2/2023 publicado en el BOE (BOE-A-2023-4513). Si detectas cualquier discrepancia entre el kit y el texto oficial, prevalece el texto oficial y se corrige la versión.
¿Ya tienes canal contratado? Este kit no es lo que necesitas: mira la Revisión de Conformidad del Sistema Interno de Información.
