Ashio whistleblowing software

Plazos del canal de denuncias bajo la Directiva UE: 7 días, 3 meses y lo que la mayoría olvida

Cover: Plazos del canal de denuncias bajo la Directiva UE: 7 días, 3 meses y lo que la mayoría olvida

El cumplimiento del canal de denuncias no se mide solo por tenerlo activo, sino por cumplir los plazos. Aquí tienes el calendario real que tu equipo debe seguir.

La Directiva UE 2019/1937 establece dos ventanas obligatorias que toda organización con 50 o más empleados debe respetar: el acuse de recibo en 7 días desde la recepción de la denuncia y la respuesta en 3 meses sobre el seguimiento. Son los famosos plazos canal de denuncias directiva ue que aparecen en todas las guías, pero que en la práctica siguen generando dudas: qué cuenta como acuse válido, qué información puede entregarse en la respuesta, qué pasa si necesitas más tiempo. Esta guía repasa cada uno de esos puntos, con ejemplos prácticos y referencias a la directiva europea de protección de denunciantes para que tu canal de denuncias interno se ajuste al calendario desde el primer día.

Índice

Día 0: recepción de la denuncia y acuse de recibo en 7 días

El reloj empieza a contar en el momento exacto en que la denuncia entra en el sistema, no cuando un responsable la lee. Por eso, un canal interno de denuncias bien diseñado debe registrar la fecha y hora de recepción de forma inmutable, idealmente con sello de tiempo criptográfico. Esa marca es la prueba de que el plazo de 7 días ha comenzado y la única forma de defenderte ante una inspección.

En esos siete días naturales, la organización tiene que confirmar al denunciante que su denuncia ha sido recibida. No es un “sí, la vimos”: es un acuse formal que abre la relación jurídica con el denunciante. Una buena práctica es enviar ese acuse en el mismo idioma en que se escribió la denuncia, porque parte de los plazos legales whistleblowing se miden por la claridad de la comunicación inicial.

Si la denuncia llega por un canal que no genera registro automático (correo electrónico personal, una llamada telefónica, un mensaje en redes sociales), el riesgo es doble: no puedes acreditar cuándo se收到了 y el reloj se vuelve impredecible. Por eso, los responsables de compliance recomiendan centralizar toda entrada en una sola herramienta, que registre el sello temporal y libere al equipo de disputas sobre el “cuándo empezó el plazo”.

Qué se considera 'acuse de recibo' válido legalmente

Infographic: Qué se considera 'acuse de recibo' válido legalmente El acuse de recibo no es un correo genérico tipo “hemos recibido tu mensaje”. La Directiva exige que el acuse confirme tres cosas concretas: que la denuncia ha sido recibida, que será examinada y, si procede, que se ha abierto un expediente. Cualquiera de esos tres elementos puede faltar si el equipo se limita a automatizar un email.

Un acuse válido suele incluir:

  • Identificador único del caso: un número o código que permita al denunciante hacer seguimiento sin revelar su identidad.
  • Plazo estimado de revisión: una indicación de cuándo puede esperar la primera respuesta sustantiva.
  • Canal seguro de comunicación: el enlace cifrado a través del cual el denunciante y el gestor pueden intercambiar mensajes sin exponer la identidad.

La AES-256-GCM y el intercambio P-256 ECDH que se describen en la documentación técnica de Ashio cumplen este objetivo: cada denuncia genera una clave única envuelta para cada destinatario, de modo que el servidor nunca puede leer el contenido. Esto resuelve un problema clásico: si el acuse se envía desde un sistema no cifrado, el propio acuse puede revelar la existencia de una denuncia confidencial. Por eso, las guías de cumplimiento europeo de whistleblowing insisten en que el acuse viaje por el mismo canal seguro que la denuncia original.

En la práctica, muchas organizaciones fallan en un detalle: envían el acuse, pero por un canal diferente al de la denuncia (por ejemplo, un correo de la empresa cuando el denunciante usó el portal anónimo). Esto rompe la confidencialidad y, peor aún, impide acreditar que el acuse llegó realmente al denunciante dentro del plazo.

Plazo de 3 meses para respuesta: qué incluye y qué no

Una vez enviado el acuse, la organización dispone de tres meses para responder al denunciante sobre el seguimiento dado a su denuncia. Aquí es donde la mayoría comete errores, porque confunden “respuesta” con “resolución”. La Directiva no obliga a cerrar el caso en 3 meses; obliga a comunicar el estado de la investigación.

Una respuesta conforme a los plazos legales whistleblowing debe incluir, como mínimo:

  • Confirmación de que la denuncia está siendo investigada y quién la gestiona.
  • Estado del expediente: en instrucción, archivada por falta de indicios, trasladada a otra autoridad competente, o resuelta.
  • Próximos pasos previstos: si se requieren pruebas adicionales, entrevistas, o se ha escalado a una autoridad externa.

Lo que no puede hacer la organización en esos 3 meses es permanecer en silencio. Una respuesta vaga tipo “estamos tramitando tu denuncia” sin más detalle se considera incumplimiento, porque el denunciante no puede ejercer su derecho a saber si el asunto progresa o se ha archivado. Por el contrario, una respuesta detallada pero que revele la identidad del denunciado o información sensible del expediente también sería problemática: la comunicación debe ser equilibrada.

La Directiva permite que la respuesta sea “intermedia” si la investigación es compleja, pero debe ir acompañada de una fecha estimada de cierre y de un canal abierto para nuevas comunicaciones. Aquí es donde el registro inmutable de actividad aporta valor: el gestor puede demostrar ante un auditor exactamente qué información se transmitió, cuándo y a quién, sin manipular el historial.

Excepciones documentadas y cómo justificarlas

Los plazos de 7 días y 3 meses no son absolutos. La Directiva contempla excepciones cuando la investigación lo requiera por su complejidad, cuando se necesite información de otra jurisdicción, o cuando pueda comprometer pesquisas de autoridades públicas. Pero cada excepción debe documentarse de forma explícita.

Una excepción válida se justifica con:

  • Motivo concreto y verificable: por ejemplo, “la denuncia requiere acceso a logs de un proveedor externo sujeto a solicitud formal”.
  • Fecha estimada de cierre revisada: nunca abierta “hasta nuevo aviso”, sino con un plazo acotado y comunicado al denunciante.
  • Canal cerrado de forma segura: la comunicación con el denunciante se mantiene cifrada mientras la excepción está vigente.

La jurisprudencia europea, todavía en formación tras la transposición de la Directiva, está empezando a exigir que estas excepciones sean proporcionales y no se conviertan en un mecanismo para retrasar indefinidamente la respuesta. Por eso, las herramientas modernas incluyen alertas automáticas que recuerdan los plazos de 7 días y 3 meses antes de que se incumplan, y registran cualquier prórroga con su justificación textual. Esa trazabilidad es la diferencia entre una excepción legítima y un incumplimiento sancionable.

Sanciones por incumplimiento de plazos en España, Francia y Alemania

Las sanciones por no respetar los plazos del canal de denuncias varían según el Estado miembro, pero todas comparten un denominador común: multas económicas, responsabilidad para los órganos de gobierno y, en casos graves, consecuencias reputacionales.

  • España: la Ley 2/2023 establece multas de hasta 1 millón de euros para personas jurídicas y prevé sanciones accesorias como la inhabilitación para contratar con el sector público. El incumplimiento reiterado de los plazos de acuse y respuesta se considera infracción grave.
  • Francia: la Loi Sapin II y su normativa de desarrollo contemplan sanciones de hasta 200.000 euros para personas jurídicas y 20.000 euros para personas físicas, además de la obligación de reparar el daño reputacional.
  • Alemania: la Hinweisgeberschutzgesetz (HinSchG) prevé multas de hasta 50.000 euros por infracciones administrativas y hasta 10 millones de euros o el 2 % del volumen de negocio anual para infracciones graves, lo que convierte a Alemania en uno de los regímenes más estrictos.

En los tres países, el retraso reiterado en la respuesta se interpreta como obstrucción al derecho de denuncia, lo que puede agravar la sanción. Por eso, los registros listos para auditoría y las exportaciones en formatos estándar no son un lujo: son la prueba que demuestra que la organización cumplió o, cuando menos, que hizo todo lo razonablemente posible por cumplir.

Plantilla descargable con el calendario completo

Para ayudarte a implementar los plazos sin errores, aquí tienes una plantilla con el calendario completo que tu equipo puede adaptar:

Hito Plazo Responsable Acción concreta
Recepción de la denuncia Día 0 Sistema automático Registrar sello de tiempo inmutable
Acuse de recibo Día 0–7 Gestor de casos Enviar confirmación cifrada con ID de caso
Clasificación inicial Día 0–14 Responsable de compliance Determinar si procede investigar
Primer estado al denunciante Día 30 Gestor de casos Informar del avance sin revelar datos sensibles
Respuesta formal Día 90 Responsable de compliance Comunicar resolución o prórroga justificada
Cierre del expediente Día 90–120 Gestor de casos Archivar con registro inmutable y exportar para auditoría

Esta plantilla puede integrarse directamente en la gestión de casos de un canal de denuncias conforme. Cada hito genera una alerta automática, y cada acción queda registrada en un log que puede exportarse en formatos estándar para auditorías internas o de autoridades reguladoras.

Conoce las funciones de gestión de casos diseñadas para cumplir los plazos en la página de canal interno.

Fuentes

Plazos del canal de denuncias bajo la Directiva UE: 7 días, 3 meses y lo que la mayoría olvida | Ashio