Ashio whistleblowing software

Modelo de acuse de recibo para el denunciante: qué decir (y qué no) en 7 días

Cover: Modelo de acuse de recibo para el denunciante: qué decir y qué no en 7 días

El plazo de los 7 días corre desde que la denuncia entra en el sistema, no desde que un gestor la lee por primera vez. Esa diferencia marca el cumplimiento o la sanción, y por eso necesitas un modelo acuse de recibo denunciante listo para enviar de forma automática o casi automática. La Directiva (UE) 2019/1937 y la Ley 2/2023 obligan a acusar recibo en siete días naturales y a mantener un canal de seguimiento seguro y, en la mayoría de los casos, anónimo. Esta guía te ofrece la estructura legal, dos plantillas —una corta y una larga— que puedes copiar y adaptar, los errores que arruinan el anonimato y el rastro de auditoría que demuestra que lo hiciste bien ante una inspección. Si tu equipo de compliance todavía improvisa esta respuesta, estás a una plantilla y a un proceso de distancia de cerrar el riesgo.

Índice

Qué dice exactamente la Directiva sobre el acuse de recibo

La Directiva (UE) 2019/1937, de 23 de octubre, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, fija dos obligaciones temporales que se aplican a los canales internos de denuncias:

  • Acuse de recibo en un plazo máximo de 7 días desde la recepción de la comunicación.
  • Respuesta de seguimiento en un plazo máximo de 3 meses, con información sobre las medidas previstas o adoptadas.

En España, la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción reproduce ambos plazos y los concreta para empresas privadas con 50 o más empleados, municipios, y cualquier entidad del sector público. La consecuencia práctica es clara: el reloj empieza a contar cuando la denuncia queda registrada en el sistema, no cuando un humano la abre.

La Directiva también exige que el canal sea diseñado, establecido y gestionado de forma confidencial, lo que implica que el acuse de recibo debe viajar por el mismo canal seguro y, cuando el denunciante haya decidido no revelar su identidad, sin pedirle datos personales nuevos. Si tu formulario pide nombre y correo para "poder responderle", ya estás incumpliendo.

Para profundizar en el marco europeo puedes consultar directamente el texto oficial en EUR-Lex.

Los tres elementos obligatorios: confirmación, plazo estimado y canal de seguimiento

Una respuesta que cumpla con la Directiva UE de protección de denunciantes 2019/1937 y con la Ley 2/2023 no es un "hemos recibido tu mensaje" y punto. Tiene que incluir tres bloques mínimos, en este orden:

  1. Confirmación neutra de recepción. Debe identificar la denuncia de forma estable —un número de caso o un código alfanumérico— sin describir el contenido. Frases como "hemos recibido su comunicación con referencia 2024-D-0042" sirven; "hemos recibido su denuncia sobre el proveedor X" no, porque filtra información.
  2. Plazo estimado de respuesta. La ley marca tres meses como techo, pero el acuse debe anunciar cuándo puede esperar, como mínimo, el siguiente mensaje. Un rango razonable es "daremos respuesta a su comunicación en un plazo no superior a tres meses desde esta confirmación".
  3. Canal de seguimiento seguro. Hay que recordarle al denunciante cómo y dónde puede continuar la conversación sin perder el anonimato: el mismo buzón interno, la opción de aportar documentación adicional y el aviso de que no comparte el enlace de seguimiento con terceros.

Si tu plantilla incluye estos tres bloques —y omite cualquier solicitud de datos identificativos— ya cumples con el núcleo del plazo 7 dias canal denuncias. Todo lo demás es cortesía profesional: tono, idioma del denunciante, y un punto de contacto para dudas puramente procedimentales.

Plantilla lista para copiar y adaptar (versión corta y versión larga)

Infographic: Plantilla lista para copiar y adaptar versión corta y versión larga Aquí tienes las dos versiones que más se adaptan a la realidad operativa. La corta cabe en un párrafo de correo cifrado; la larga cubre auditorías estrictas. Ambas mantienen la comunicacion anonima con denunciante y dejan huella para el seguimiento.

Versión corta (≈ 60 palabras)

Asunto: Confirmación de recepción — Referencia [CÓDIGO]

Estimado/a denunciante:

Le confirmamos la recepción de su comunicación registrada con la referencia indicada. La tratamos de forma confidencial y, conforme a la normativa vigente, le informaremos sobre las medidas previstas o adoptadas en un plazo no superior a tres meses. Puede continuar la conversación y aportar documentación adicional a través de este mismo canal seguro.

Atentamente, [Nombre del responsable del sistema interno de información]

Versión larga (versión con todos los elementos)

Asunto: Confirmación de recepción de su comunicación — Referencia [CÓDIGO]

Estimado/a denunciante:

  1. Le confirmamos que hemos recibido su comunicación el día [FECHA DE RECEPCIÓN] y queda registrada con la referencia [CÓDIGO]. Toda la información se trata de forma confidencial.
  2. Conforme a la Ley 2/2023 y a la Directiva (UE) 2019/1937, dispone de garantías de confidencialidad y, cuando proceda, de anonimato. No le solicitamos datos identificativos adicionales para gestionar su caso.
  3. La instrucción internaizará su comunicación y se resolverá en un plazo máximo de tres meses desde la fecha de esta confirmación. Recibirá un nuevo mensaje a través de este mismo canal con el resultado o con el estado de la investigación.
  4. Para continuar la conversación, aportar pruebas adicionales o responder a preguntas del equipo instructor, utilice exclusivamente este canal. No reenvíe este enlace a terceros: es personal e intransferible.
  5. Si necesita información puramente procedimental (plazos, derechos, conservación de datos), puede escribir a [dirección de correo genérica no personal].

Atentamente, [Nombre del responsable del sistema interno de información] [Cargo] [Organización]

Ambas versiones son una primera respuesta al denunciante plantilla válida. La decisión entre una y otra depende del sector: en banca, salud y sector público la versión larga reduce preguntas de auditoría; en pymes con pocas denuncias, la corta basta.

Cómo enviar el acuse sin identificar al denunciante

El error más caro es pedir un correo de respuesta al denunciante. En cuanto guardas una dirección de email personal junto a la denuncia, has roto el anonimato —y, con él, la presunción de conformidad. Para mantener la comunicacion anonima con denunciante intacta, sigue estas cuatro reglas:

  • No pidas datos para responder. El canal debe ser bidireccional de fábrica: el sistema genera un enlace o token único por caso que vive en la URL del denunciante, no en su identidad.
  • No describas el contenido de la denuncia. "Hemos recibido su comunicación con referencia 2024-D-0042" sí; "hemos recibido su denuncia sobre el proveedor X" no. La diferencia parece sutil y sin embargo es la línea entre cumplir la ley y exponer al informante.
  • No uses canales paralelos. Nada de responder por correo personal, por Teams o por WhatsApp "para acelerar". Cualquier canal alternativo deja rastro fuera del sistema y rompe el registro de auditoría.
  • Cifra extremo a extremo. El acuse y los mensajes posteriores deben viajar cifrados de extremo a extremo para que ni el proveedor del software pueda leerlos. Esta es la única forma de defender el anonimato ante una inspección.

Un modelo de acuse de recibo para el denunciante correctamente anonimizado no se parece a un correo comercial: es un mensaje técnico, aséptico, identificable por referencia y entregado por un canal que el denunciante controla.

Qué ocurre si te pasas del plazo: consecuencias reales

Pasarse de los siete días no es una mera descortesía. Tiene consecuencias que se acumulan:

  • Multa económica. La Ley 2/2023 tipifica como infracciones muy graves el incumplimiento de las obligaciones del sistema interno de información, con sanciones que oscilan entre 250.001 € y 1.000.000 € para personas jurídicas, además de posibles sanciones complementarias como la prohibición de contratar con el sector público o de recibir ayudas.
  • Responsabilidad del responsable del sistema. La norma señala expresamente al "Responsable del sistema interno de información". Si el incumplimiento se repite o es grave, la sanción puede recaer directamente sobre esa persona.
  • Invalidación de la cadena de custodia. Sin acuse dentro del plazo, el regulador puede cuestionar que el canal esté "diseñado, establecido y gestionado" conforme a la Directiva. Eso arrastra la validez de todo el procedimiento posterior, incluida la prueba.
  • Riesgo reputacional. Un denunciante anónimo que no recibe confirmación en siete días suele interpretar que el sistema no funciona —y con razón— y eleva el caso a la Autoridad Independiente o a la vía pública. El daño de marca es proporcional a la filtración posterior.

La consecuencia más común, sin embargo, es la que no sale en los boletines: el seguimiento de plazos directiva ue se rompe y, cuando llega la auditoría, no puedes demostrar quién tenía que haber enviado el acuse, cuándo ni por qué no se hizo. La multa es el final; la falta de registro, el principio.

Cómo registrar el acuse para demostrarlo ante una inspección

El acuse de recibo no vale solo con enviarlo: tienes que poder demostrarlo. Para eso necesitas un registro con cuatro atributos:

  1. Marca temporal inmutable. Fecha y hora exactas de envío del acuse, firmadas digitalmente y selladas por el sistema. Si la marca se puede editar a posteriori, no sirve como prueba.
  2. Identificador único del caso. La misma que figura en el mensaje al denunciante, de forma que el auditor pueda vincular el envío con el expediente sin ver el contenido.
  3. Canal y cifrado utilizado. Qué medio se usó para enviarlo (canal interno, cifrado extremo a extremo) y prueba de que el canal cumple el estándar declarado en la política de seguridad.
  4. Historial completo de tramitación. Cada hito —acuse, solicitud de información adicional, decisión provisional, resolución— debe quedar registrado con su marca temporal. La trazabilidad no es opcional: es la diferencia entre un sistema conforme y uno que "parece" conforme.

Una buena práctica es exportar este registro en un formato firmado y de archivo estándar para entregarlo en auditorías internas y externas. para entregarlo en auditorías internas y externas. El auditor no necesita leer el contenido de las denuncias; necesita ver que el proceso se ejecutó dentro del plazo, de forma trazable y sin filtraciones. Si tu software no te da ese informe de un clic, el problema no es de plantilla: es de herramienta.

Preguntas frecuentes

¿Cuenta el plazo de 7 días en días naturales o hábiles?

La Directiva 2019/1937 y la Ley 2/2023 hablan de "siete días" sin distinguir entre naturales y hábiles. La interpretación mayoritaria en España es que se trata de días naturales, igual que el plazo de tres meses. Para no arriesgar, asume siempre días naturales.

¿Puedo enviar el acuse por correo electrónico normal?

No si el denunciante ha elegido el anonimato. Un correo normal expone la dirección del informante a metadatos, copias en servidores y posibles filtraciones. Usa únicamente el canal seguro del sistema interno de información, que cifra extremo a extremo y mantiene la trazabilidad.

¿Qué pasa si el denunciante no conserva el enlace de seguimiento?

El sistema debe permitir regenerar el acceso sin pedir datos personales —por ejemplo, con el código del caso y una segunda vía de recuperación previamente acordada. Lo que nunca debes hacer es pedirle su identidad para "verificar" que es el titular: eso destruye el anonimato.

¿Es obligatorio acusar recibo aunque la denuncia sea falsa o irrelevante?

Sí. La obligación de acusar recibo existe para toda comunicación que entre por el canal, sin prejuzgar su contenido. Filtrar antes de los siete días —incluso para "denuncias que no parecen ser nada"— es lo que precisamente prohíbe la ley.

¿Cuántas veces puedo contactar al denunciante durante los tres meses?

No hay un límite legal, pero sí un principio de proporcionalidad. Lo razonable es: acuse inicial, posibles preguntas aclaratorias y una resolución final. Más allá de eso, el contacto excesivo puede interpretarse como hostigamiento inverso.

Fuentes

Copia la plantilla, adáptala a tu sector y, cuando la tengas lista, prueba Ashio gratis durante 14 días.

Modelo de acuse de recibo para el denunciante: qué decir (y qué no) en 7 días | Ashio