Los plazos del canal de denuncias los fija la Ley 2/2023: 7 días naturales para acusar recibo, 3 meses para responder (ampliables otros 3 si el caso es especialmente complejo) y 7 días para la reunión presencial que pida el informante. A ellos se suman los de datos y el del Responsable: supresión a los 3 meses si no se abre investigación, un máximo de 10 años de conservación y 10 días hábiles para notificar su nombramiento o cese.
Te los ordenamos por bloques, con el artículo de cada uno, para que compruebes si tu canal de denuncias los cumple. Todos salen del texto de la Ley 2/2023, de 20 de febrero, y de los documentos publicados por la Autoridad Independiente de Protección del Informante (A.A.I.).
Los plazos de cada comunicación
El órgano de administración aprueba el procedimiento de gestión de informaciones y el Responsable del Sistema «responderá de su tramitación diligente» (art. 9.1). Ese procedimiento tiene que recoger, como mínimo, estos plazos:
| Plazo | Qué hay que hacer | Desde cuándo cuenta | Artículo |
|---|---|---|---|
| 7 días naturales | Enviar el acuse de recibo al informante | Desde la recepción de la comunicación | Art. 9.2.c |
| 7 días como máximo | Celebrar la reunión presencial, si el informante la pide | La ley no lo precisa; lo prudente es contar desde la solicitud | Art. 7.2 |
| 3 meses | Dar respuesta a las actuaciones de investigación | Desde la recepción o, si no hubo acuse, desde que vencen los 7 días | Art. 9.2.d |
| Hasta 3 meses más | Ampliar el plazo de respuesta | Solo en casos de especial complejidad | Art. 9.2.d |
| De inmediato | Reenviar al Responsable la comunicación que llegue por otra vía o a otra persona | En cuanto se recibe | Art. 9.2.g |
| De inmediato | Remitir la información al Ministerio Fiscal | Cuando los hechos pudieran ser indiciariamente delictivos | Art. 9.2.j |
Acuse de recibo: 7 días naturales
Son días naturales, no hábiles: cuentan los fines de semana y los festivos. La única excepción que admite la ley es que el acuse pueda poner en peligro la confidencialidad de la comunicación (art. 9.2.c). Si decides no enviarlo por ese motivo, deja escrito el porqué en el expediente.
Respuesta: 3 meses, ampliables hasta 6
El plazo para responder a las actuaciones de investigación no puede superar los tres meses desde la recepción. Si no se envió acuse, se cuentan desde que vence el plazo de siete días posterior a la comunicación. En casos de especial complejidad puede extenderse hasta un máximo de otros tres meses (art. 9.2.d). La A.A.I. lo resume en su Recomendación 1/2026 como «tres meses (ampliable a seis meses)».
Mientras corre el plazo, el procedimiento debe prever que puedas mantener la comunicación con el informante y pedirle información adicional (art. 9.2.e). La persona afectada tiene derecho a que se le informe de las acciones u omisiones que se le atribuyen y a ser oída (art. 9.2.f), con respeto a la presunción de inocencia y a su honor (art. 9.2.h).
Reunión presencial: 7 días
El canal debe admitir comunicaciones por escrito o verbalmente y, a solicitud del informante, también mediante una reunión presencial dentro del plazo máximo de siete días (art. 7.2). Las comunicaciones verbales se documentan con una grabación o una transcripción completa, previo consentimiento del informante, que puede comprobar, rectificar y firmar la transcripción.
Plazos de conservación y supresión de datos
El segundo bloque es de protección de datos. Afecta a todo lo que entra por el canal, se investigue o no:
| Situación | Qué hay que hacer | Artículo |
|---|---|---|
| Mientras decides si investigar | Conservar los datos solo el tiempo imprescindible para decidirlo | Art. 32.3 |
| Se acredita que la información no es veraz | Suprimirla de inmediato, salvo que esa falta de veracidad pueda constituir un ilícito penal | Art. 32.3 |
| 3 meses sin abrir investigación | Suprimir los datos, salvo para dejar evidencia del funcionamiento del sistema | Art. 32.4 |
| Comunicaciones a las que no se da curso | Solo pueden constar de forma anonimizada | Art. 32.4 |
| Libro-registro | Conservar solo lo necesario y proporcionado; nunca más de 10 años | Art. 26.2 |
El libro-registro de las informaciones recibidas y de las investigaciones internas no es público: solo se accede a él a petición razonada de la autoridad judicial competente, mediante auto (art. 26). La A.A.I. recomienda que recoja, al menos, la fecha de recepción, el objeto de la comunicación y el estado de las actuaciones.
¿Y si necesitas guardar información para defenderte en un posible procedimiento penal? La AEPD, en su informe 0060/2023, entiende que estas reglas no lo impiden, siempre que lo conserves en un espacio distinto del sistema de la Ley 2/2023, con otra base jurídica del art. 6 RGPD y cumpliendo el resto de la normativa de protección de datos. Es una decisión que conviene revisar con tu delegado de protección de datos; si no lo tienes, lo vemos en DPO externo.
El plazo para notificar al Responsable del Sistema
El nombramiento y el cese del Responsable del Sistema se notifican a la A.A.I. o, en su caso, a la autoridad autonómica competente en los diez días hábiles siguientes. Si es un cese, hay que explicar las razones (art. 8.3). Aquí sí son días hábiles, no naturales.
La notificación se hace con el formulario de la sede electrónica de la A.A.I. Para los nombramientos hechos desde la entrada en vigor de la ley hubo un plazo extraordinario de dos meses: según la Guía 1/2026 de la A.A.I., empezó el 10 de febrero de 2026 y terminó el 10 de abril de 2026. Ya está cerrado: cada nuevo nombramiento o cese va por el plazo ordinario de diez días hábiles.
No todas las empresas notifican a la A.A.I. Según sus preguntas frecuentes, deben hacerlo las que tienen establecimientos en más de una comunidad autónoma y las que están en una sola comunidad sin autoridad autonómica competente; en los demás casos es voluntario, sin perjuicio de la normativa autonómica. Lo desarrollamos en el responsable del sistema interno de información.
Los plazos del canal externo de la A.A.I.
Tu canal interno es el cauce preferente cuando la infracción puede tratarse de forma efectiva y el informante no teme represalias (art. 4.1), pero cualquier persona física puede informar ante la A.A.I. directamente o después de usarlo (art. 16.1). La Autoridad funciona desde el 1 de septiembre de 2025 (Orden PJC/908/2025) y sus plazos no son los mismos que los tuyos:
| Trámite | Tu canal interno | Canal externo de la A.A.I. |
|---|---|---|
| Acuse de recibo | 7 días naturales (art. 9.2.c) | 5 días hábiles desde la recepción (art. 17.4) |
| Decisión sobre la admisión | La fija tu procedimiento | Máximo 10 días hábiles desde el registro (art. 18) |
| Respuesta | 3 meses, ampliables otros 3 (art. 9.2.d) | Máximo 3 meses desde el registro (art. 20.3) |
Fíjate en la última fila: el art. 20.3 no recoge para la A.A.I. la ampliación por especial complejidad que el art. 9.2.d da al canal interno. Y que exista el canal externo no te libera de tener el tuyo si estás obligado por el art. 10.
¿Y el plazo para implantar el canal?
La ley se publicó en el BOE el 21 de febrero de 2023. Su preámbulo explica que los sujetos obligados debían implantar el sistema, con carácter general, en el plazo de tres meses, y prevé también la adaptación de los sistemas internos que ya existían. En noviembre de 2026 la cuestión ya no es cuándo implantarlo, sino demostrar que funciona: que cada comunicación cumple sus plazos y que queda constancia de ello.
Si tu empresa entra ahora en el ámbito del art. 10 —por llegar a 50 trabajadores o por empezar a operar en servicios financieros o como sujeto obligado de prevención del blanqueo—, lo prudente es tener el sistema listo antes de cruzar el umbral. Si aún no sabes qué supone en dinero y en horas, lo explicamos en cuánto cuesta un canal de denuncias.
Cómo controlar los plazos en la práctica
- Registra la fecha de recepción. Es el punto de partida del acuse y de la respuesta, y la primera casilla del libro-registro.
- Distingue días naturales y hábiles. El acuse (7 días naturales) y la notificación del Responsable (10 días hábiles) no se cuentan igual.
- Motiva las excepciones. No enviar acuse por riesgo para la confidencialidad o ampliar la respuesta por especial complejidad son decisiones que deben quedar justificadas por escrito.
- Programa la supresión. Una alerta a los tres meses de cada comunicación no investigada evita conservar datos que la ley manda suprimir (art. 32.4).
- Revisa cada cambio de Responsable. Cada cese y cada nombramiento abren un nuevo plazo de diez días hábiles (art. 8.3).
Si la comunicación acaba en una investigación, las fases internas las marca tu protocolo; te ayudamos a diseñarlo en investigaciones internas. Y si el canal forma parte de tu modelo de corporate compliance, conviene que ambos usen el mismo registro y el mismo calendario.
¿Tu procedimiento recoge todos estos plazos?
Revisamos tu sistema interno de información, el procedimiento de gestión y el libro-registro, y te decimos qué falta para cumplir la Ley 2/2023 antes de que llegue la primera comunicación. Empieza por nuestro servicio de canal de denuncias.
Preguntas frecuentes
¿Desde cuándo cuentan los tres meses si no enviamos acuse de recibo?
Si no se remitió acuse, los tres meses no empiezan con la recepción, sino al vencer el plazo de siete días posterior a la comunicación (art. 9.2.d de la Ley 2/2023). En la práctica, el plazo total se alarga como mucho una semana. Que no hubiera acuse debe estar justificado, porque solo cabe omitirlo si pone en peligro la confidencialidad.
¿Se puede ampliar la respuesta más allá de seis meses?
No. La ley permite extender el plazo inicial de tres meses «hasta un máximo de otros tres meses adicionales», y solo en casos de especial complejidad (art. 9.2.d). Si la usas, documenta en el expediente por qué el caso es especialmente complejo: es la condición que exige la norma para ampliar.
¿Podemos guardar todas las comunicaciones diez años por si acaso?
No. Los diez años son un techo, no un plazo por defecto: los datos del libro-registro solo se conservan el tiempo necesario y proporcionado (art. 26.2). Las comunicaciones que no llegan a investigarse se suprimen a los tres meses, salvo para dejar evidencia del funcionamiento del sistema, y las que no se tramitan solo pueden constar anonimizadas (art. 32.4).
¿Basta una notificación si el grupo tiene un único Responsable?
La ley permite un Responsable para todo el grupo (art. 11.2), pero la A.A.I. recuerda en sus preguntas frecuentes que la obligación recae en cada sociedad que forme parte del grupo y esté obligada, por lo que cada una debe quedar identificada al comunicar el nombramiento. El plazo sigue siendo de diez días hábiles (art. 8.3).
¿Qué hacemos si nos llega una comunicación por correo a un directivo y no al canal?
El procedimiento debe garantizar la confidencialidad también cuando la comunicación llega por cauces no previstos o a personal no responsable de tratarla, que debe remitirla de inmediato al Responsable del Sistema (art. 9.2.g). Forma a tus mandos para que lo sepan y reenvíen sin demora, y deja constancia de cuándo llegó la comunicación y cuándo la recibió el Responsable.
Ley 2/2023, de 20 de febrero, de protección de las personas informantes (arts. 4, 7, 8, 9, 11, 16, 17, 18, 20, 26 y 32); AEPD, informe jurídico 0060/2023 (conservación y supresión de datos); A.A.I., Recomendación 1/2026 sobre el sistema interno de información (versión 3, 13-07-2026); A.A.I., Guía 1/2026 sobre la notificación del Responsable del Sistema (plazo extraordinario); A.A.I., preguntas frecuentes sobre el Responsable del Sistema (versión 5, 01-10-2026); A.A.I., notificación del nombramiento o cese del Responsable; Orden PJC/908/2025, de 8 de agosto (puesta en funcionamiento de la A.A.I.).
Este artículo describe la situación a 4 de noviembre de 2026 y no sustituye al análisis de cada caso.