Ashio whistleblowing software

Oct 13, 2026

Tabla de retención de denuncias internas: cuánto guardar

Tabla de retención de denuncias internas: cuánto guardar

Una denuncia interna no se borra cuando se cierra: se conserva, se bloquea o se anonimiza, y cada decisión tiene un plazo distinto bajo el RGPD y la Ley 2/2023. Esta guía te da la tabla de retención denuncias internas lista para copiar en tu política, con los plazos exactos, qué información conviene bloquear antes que suprimir y cómo demostrarlo ante una inspección de la AEPD sin que el expediente se quede sin defensa si un día lo necesitas como prueba.

Índice

Puntos clave

  • El plazo ordinario de conservación de una denuncia interna es de 3 meses para resolver y, una vez cerrada, el expediente debe limitarse a datos bloqueados durante el tiempo necesario para atender eventuales responsabilidades (prescripción laboral, penal y civil).
  • Lo que se conserva del expediente es el resultado del procedimiento (admisión, archivo, sobreseimiento o sanción), no el contenido íntegro de la conversación con el denunciante, y menos aún sus datos identificativos sin necesidad justificada.
  • Bloquear datos del denunciante —no suprimirlos— es la opción correcta cuando la denuncia puede dar lugar a reclamaciones futuras; la supresión prematura se interpreta por la AEPD como supresión de prueba.
  • Los tres plazos críticos a coordinar son los 7 días de acuse de recibo, los 3 meses de respuesta y la prescripción de las acciones (1 año laboral, 2 a 5 años civiles, hasta 10 años contables), y la retención se mide desde el cierre, no desde la presentación.
  • El error más caro es borrar la denuncia antes de que prescriban las acciones judiciales derivadas: la AEPD y los tribunales valoran la trazabilidad tanto como el contenido.

Cuánto tiempo debe conservarse una denuncia interna según el RGPD y la Ley 2/2023

Una denuncia interna debe conservarse, en su documentación esencial, hasta que prescriban las posibles acciones legales derivadas del expediente, con un mínimo operativo de 3 meses para resolver y un horizonte realista de 4 a 10 años para el bloque de auditoría, según la vía que pueda abrirse (laboral, civil, penal o contable).

La Ley 2/2023 fija dos plazos que todo responsable de cumplimiento debe tener en la pared: 7 días para acusar recibo de la denuncia y 3 meses para responder sobre la decisión de admisión o archivo. Esos plazos son de tramitación, no de conservación. Una vez resuelto el expediente, la pregunta cambia: ¿puede borrarse todo?

La respuesta corta es no: el RGPD obliga a conservar la trazabilidad del proceso durante el tiempo necesario para defender o atender responsabilidades futuras. La Ley 2/2023 exige, por su parte, que el canal y su registro de actividad puedan acreditar el cumplimiento ante una inspección. Ambas normas se complementan: el RGPD marca el suelo de conservación necesario para defender un sistema legal, y la Ley 2/2023 concreta qué debe quedar acreditado mientras el canal esté operativo.

En la práctica, el plazo de conservación de denuncias internas se calcula sumando tres ventanas:

  • Plazo de resolución: 3 meses desde la presentación, ampliable cuando la complejidad lo justifique.
  • Plazo de eventuales acciones laborales: hasta 1 año desde que el trabajador pudo ejercitar la acción (prescripción de sanciones y de derechos derivados del contrato).
  • Plazo de acciones civiles, contables y, en su caso, penales: 4 a 5 años para acciones civiles; 4 años para infracciones contables y fiscales; hasta 10 años cuando la documentación soporte obligaciones de auditoría financiera; 5 años para infracciones penales leves, 10 para las graves.

Para no quedarte corto, usa esta regla: el bloque de auditoría mínimo es de 5 años desde el cierre del expediente, ampliable a 10 años en sectores regulados (financiero, salud, energía) y siempre que el expediente haya finalizado con incumplimiento acreditado.

Para profundizar en cómo se organiza ese registro de forma demostrable, conviene revisar el registro actividades canal denuncias ley 22023, que detalla qué entradas mínimas debe contener un libro de incidencias del canal.

Qué pasa con la denuncia si el denunciado es absuelto o el expediente se archiva

Cuando el expediente termina sin infracción acreditada, la tentación es borrarlo todo. Hacerlo suele ser ilegal: el denunciante, aunque su denuncia no prospere, conserva legitimación para defender sus derechos ante una eventual represalia o ante la propia AEPD. Bloquear el expediente durante ese periodo, en lugar de suprimirlo, es lo que permite demostrar que el canal funcionó y que el expediente no se perdió.

Además, el archivo sin indicios no equivale a una declaración de falsedad. Si la denuncia no prosperó por falta de pruebas suficientes, no por acreditarse una denuncia falsa, el principio de presunción de inocencia y el derecho a denunciar pesan del lado del denunciante. Por eso, la AEPD valora que el canal pueda acreditar, incluso en archivos, que se siguió el procedimiento y que la decisión estuvo motivada.

Qué datos del denunciante hay que bloquear o anonimizar (y cuáles no)

Qué datos del denunciante hay que bloquear o anonimizar y cuáles no Hay que bloquear o anonimizar los datos identificativos del denunciante y el contenido íntegro de su relato una vez cerrado el expediente, conservando únicamente los campos mínimos necesarios para acreditar la trazabilidad: identificador anónimo del caso, fecha de entrada, fecha de cierre, tipo de resolución, responsable y registro de actividad del canal.

La AEPD distingue con claridad entre supresión y bloqueo, y esa diferencia vertebra toda la política de retención:

  • Suprimir significa borrar de forma que la información no pueda volver a recuperarse. Es la medida prevista para datos innecesarios o tratados sin base jurídica.
  • Bloquear significa dejar la información identificada y disponible solo para atender reclamaciones, responsabilidades o peticiones de autoridades competentes, sin que pueda usarse para fines ordinarios del tratamiento.

El RGPD (artículo 18) reconoce el derecho del interesado a obtener del responsable la limitación del tratamiento, y la LOPDGDD desarrolla esa figura en los artículos 32 y siguientes. En la práctica, bloquear un expediente de denuncia se traduce en:

  • Marcar el expediente en un nivel de acceso restringido (solo el responsable de cumplimiento y, en su caso, el asesor jurídico).
  • Cifrar o cifrar de nuevo el cuerpo de la denuncia con una clave separada, accesible únicamente por quien deba custodiar la prueba.
  • Sustituir el nombre del denunciante por su identificador anónimo (un código de caso interno) en todo documento que no sea estrictamente necesario identificarlo.
  • Anonimizar las notas de seguimiento: nombres de personas entrevistadas, terceros mencionados, etc., salvo cuando sean parte imprescindible del relato.

Lo que no debe anonimizarse es la cadena de custodia del expediente: quién lo abrió, quién lo revisó, qué decisiones se tomaron y en qué fechas. Esa información, desprovista de los datos personales del denunciante, es la que sostiene la defensa ante una inspección.

Para decidir qué modalidad de protección aplica a cada caso, es útil repasar las diferencias prácticas entre anonimato vs confidencialidad denunciante, porque las obligaciones de retención cambian según se haya garantizado una u otra modalidad al denunciante.

¿Se puede borrar la grabación de la entrevista o la voz transcrita?

Sí, en muchos supuestos. La voz y el audio del denunciante solo son necesarios mientras dura la instrucción. Una vez cerrado el expediente y bloqueados los datos identificativos, la AEPD admite que el audio o la transcripción se eliminen, conservando únicamente el identificador anónimo del caso, la fecha y la decisión adoptada.

Esa posibilidad, sin embargo, depende del tipo de denuncia: si la grabación documenta una conducta que puede ser constitutiva de delito, su conservación puede venir exigida por la normativa procesal. También cuando la grabación es la única prueba de los hechos relatados, su supresión prematura puede impedir acreditar la cadena de custodia. Por eso, antes de eliminar el audio conviene revisar si la denuncia ha finalizado en archivo sin medidas o en admisión con sanción, porque el tratamiento de la prueba varía.

¿Y los datos del denunciado?

Los datos del denunciado, mientras no exista resolución firme que lo declare responsable, tienen un régimen más estricto: deben limitarse al mínimo necesario y no pueden reutilizarse para fines distintos al procedimiento. Si el expediente termina sin infracción, conviene revisar si esos datos pueden bloquearse también, porque una conservación indefinida del nombre del denunciado en un registro accesible puede ser contraria al principio de minimización.

En particular, la AEPD ha recordado en varias resoluciones que mantener el nombre del denunciado en una base de datos accesible para más personas de las estrictamente necesarias puede constituir un tratamiento excesivo. El dato existe, sí, pero su accesibilidad debe reducirse al mínimo compatible con la defensa ante responsabilidades. Esa exigencia se intensifica cuando la denuncia se archivó sin acreditarse infracción: el dato ya no tiene función activa en el procedimiento, y su mantenimiento solo se justifica por la necesidad de acreditar la trazabilidad del canal.

Tabla de retención por tipo de expediente: admitida, archivada, sobreseída, con sanción

La retención varía según el desenlace del expediente: cuanto más grave o potencialmente litigiosa sea la resolución, más largo debe ser el periodo de bloqueo, y cuanto más benigna, antes cabe anonimizar o reducir la trazabilidad a un identificador anónimo.

A continuación, la tabla que puedes copiar en tu política de retención, con los plazos mínimos y el tratamiento de los datos del denunciante según el resultado del procedimiento:

Tipo de resolución Qué significa Plazo de conservación desde el cierre Tratamiento de los datos
Admitida a trámite Se abre instrucción y se practican pruebas 5 años, ampliable a 10 si hay indicios de responsabilidad penal o contable Bloqueo del expediente íntegro; identificador anónimo del denunciante; conservar restringido para eventuales reclamaciones
Archivada sin medidas No se acreditan indicios suficientes 3 años Bloqueo del identificador anónimo y de la resolución; supresión del relato íntegro y de datos identificativos del denunciante; conservación del registro de actividad del canal
Sobreseída Se archiva tras práctica de pruebas sin evidencia de infracción 4 años Bloqueo del identificador anónimo, resolución y registro de actividad; anonimización o supresión del relato
Con sanción al denunciado Se acredita la infracción y se impone medida disciplinaria o se deriva a la vía penal 10 años (mínimo), ampliable mientras no prescriba la acción de responsabilidad civil o penal Bloqueo íntegro del expediente, accesible solo para autoridades competentes; conservación de la cadena de custodia y de la resolución sancionadora
Con derivación a la vía penal Se remiten las actuaciones al Ministerio Fiscal o al juzgado Hasta que la causa penal quede definitivamente archivada o resuelta, con un mínimo de 10 años Bloqueo íntegro; acceso reservado a autoridades judiciales; trazabilidad completa del expediente

La razón de la asimetría es que la carga de la prueba no se distribuye igual en cada caso. En el archivo sin indicios apenas hay riesgo de que nadie reclame, mientras que en la sanción hay demandantes potenciales (el propio denunciado, terceros afectados, Hacienda o la jurisdicción social) que pueden pedir acceso al expediente durante años.

Para que estos plazos sean demostrables, conviene documentar desde el primer momento la cadena custodia denuncia anonima, porque sin trazabilidad documentada el bloqueo no se distingue de una supresión encubierta ante la AEPD.

Cómo aplicar la tabla en un caso real

Imagina una denuncia por acoso recibida el 1 de marzo, admitida a trámite el 10 de marzo y resuelta el 15 de junio sin sanción. La trazabilidad del canal (acuse, decisiones, registro) debe conservarse bloqueada durante al menos 5 años desde el 15 de junio. El identificador anónimo del denunciante debe mantenerse. El relato íntegro puede anonimizarse al cierre, conservando solo el resumen de hechos necesario para entender la resolución.

Ese resumen, conviene precisarlo, no equivale a una descripción exhaustiva de los hechos: basta con un extracto que permita entender qué se investigó y por qué se archivó, sin reproducir los datos identificativos del afectado. Si durante la instrucción se generaron a otras personas, sus datos identificativos deben correr la misma suerte que los del denunciante: bloqueados primero y, pasado el plazo correspondiente, anonimizados.

Cómo documentar el bloqueo para que la AEPD no lo considere supresión de prueba

El bloqueo se documenta con tres elementos: una marca técnica de limitación del tratamiento, un acceso restringido registrado y una política escrita que recoja los criterios y plazos. Sin esa documentación, la AEPD puede presumir que el bloqueo es, en realidad, una supresión encubierta.

La AEPD, en sus guías y resoluciones, ha reiterado que la limitación del tratamiento no equivale a borrar la información. Lo que distingue un bloqueo válido de una supresión indebida es la posibilidad real de recuperar la información si un tercero legitimado la solicita. Esa posibilidad se demuestra con:

  • Una etiqueta de estado: cada expediente debe tener un campo que indique "bloqueado", "limitado" o "archivado" distinto del estado "suprimido" o "borrado".
  • Un control de acceso: solo personas autorizadas, con un rol específico (responsable de cumplimiento, asesor jurídico), pueden acceder al expediente bloqueado, y cada acceso queda registrado en un log inmutable.
  • Una política escrita: el procedimiento de bloqueo debe estar descrito en la política de privacidad, en el registro de actividades y, cuando proceda, en la memoria anual de compliance.

Para que la defensa ante una inspección funcione, el log debe poder demostrar tres cosas: quién bloqueó el expediente, cuándo lo hizo y bajo qué política. Si falta cualquiera de esos tres datos, el bloqueo se queda en una afirmación interna sin valor probatorio.

Conviene distinguir dos errores frecuentes:

  • Confundir bloqueo con anonimización irreversible: la anonimización destruye el vínculo con el interesado, lo que impide atender solicitudes de acceso o reclamaciones; el bloqueo mantiene el vínculo, pero restringe el uso.
  • Aplicar el bloqueo solo "en la base de datos" sin tocar los respaldos: si los respaldos contienen el expediente íntegro sin restricción, el tratamiento no está realmente limitado.

Una buena práctica consiste en documentar el bloqueo con la misma formalidad que la apertura del expediente: fecha de la operación, responsable, motivo y referencia a la política aplicable. Esa anotación, incorporada al registro de actividad del canal, es la prueba de que el bloqueo fue real.

Errores típicos: borrar la denuncia antes de los 3 meses de prescripción laboral

El error más caro —y más frecuente— es dar por cerrada la denuncia en el momento de la resolución y borrar el expediente en bloque, sin distinguir entre los plazos de resolución que marca la Ley 2/2023 y los plazos de prescripción de las acciones que pueden ejercitarse después. Borrar antes de que prescriban las acciones convierte al responsable en alguien que ha destruido prueba, no ante la AEPD, sino ante un juez que un día puede necesitarla.

Los plazos de prescripción son los que mandan, y son más largos de lo que parece:

  • Prescripción laboral: las sanciones laborales prescriben a los pocos meses, pero la acción del trabajador para impugnar el despido o las represalias derivadas de la denuncia puede llegar hasta el año. Borrar la denuncia dentro de ese año deja al empleador sin defensa.
  • Prescripción civil: las acciones de daños derivadas de la infracción prescriben en 5 años, contados desde que el daño pudo ejercitarse. En materia de protección de datos, la AEPD puede sancionar hasta 5 años después de la infracción.
  • Prescripción contable y fiscal: la documentación soporte de obligaciones contables se conserva durante 6 años en el ámbito mercantil, 4 años en el fiscal, lo que se aplica a los expedientes con implicaciones contables.
  • Prescripción penal: depende del delito, pero puede alcanzar los 10 años en infracciones graves y, en algunos tipos penales, hasta 15 años.

La consecuencia práctica es clara: una denuncia archivada por falta de indicios no debe borrarse al cierre, sino bloquearse y conservarse, como mínimo, hasta que las acciones laborales y civiles derivadas estén prescritas. Borrarla antes abre dos frentes:

  • Frente a la AEPD: la autoridad puede considerar que se ha destruido documentación exigida por el RGPD o por la Ley 2/2023, con la calificación de infracción grave.
  • Frente al juzgado: si la persona denunciada reclama por la vía laboral o civil, el empleador no podrá tener respuesta ante la pregunta de si la denuncia se tramitó conforme a la ley.

Tres errores más que conviene evitar

Junto con el borrado prematuro, hay tres patrones que la AEPD repite en sus resoluciones y que conviene prevenir:

  • Conservar todo durante 10 años "por si acaso": el principio de minimización obliga a fijar plazos proporcionados; una conservación excesiva también es sancionable.
  • No distinguir entre datos del expediente y datos del canal: la trazabilidad del canal y los datos del expediente no siguen los mismos ritmos; mezclarlos impide aplicar bien la tabla.
  • Tratar igual las denuncias anónimas y las confidenciales: una denuncia verdaderamente anónima no identifica al denunciante, así que el régimen de bloqueo cambia y pueden aplicarse plazos más cortos.

¿Quién se ocupa en la práctica de llevar esta tabla?

En una pyme española, esta tabla la suele aplicar el responsable de cumplimiento, con apoyo del DPO o del asesor jurídico externo, y se ejecuta desde un sistema que automatiza los cambios de estado y los plazos. Para equipos sin un departamento jurídico interno que pueda auditar manualmente cada expediente, existen canales que aplican por defecto los plazos y conservan un log inmutable para soportar inspecciones.

Ashio, en concreto, deja configurados los plazos de 7 días y 3 meses desde el primer momento, mantiene un registro de actividad del canal y aplica el bloqueo o anonimización según el desenlace del expediente, sin que el equipo tenga que recordar manualmente cada fecha; no es la herramienta adecuada para quien necesite personalizar el flujo o conservar grandes volúmenes de evidencia más allá del cierre del caso. Puedes sign up y probarlo durante 14 días para ver cómo aplica esta tabla en la práctica.

Preguntas frecuentes

¿Cuánto tiempo guardar una denuncia interna una vez resuelta?

Una denuncia interna debe conservarse bloqueada al menos 5 años desde su cierre, ampliable a 10 años en sectores regulados y siempre que la denuncia haya finalizado con sanción al denunciado o con indicios de responsabilidad penal. En denuncias archivadas sin indicios, el plazo puede reducirse a 3 años, pero la trazabilidad mínima del canal debe mantenerse hasta los 5 años para acreditar el cumplimiento de la Ley 2/2023.

¿Qué datos del denunciante hay que anonimizar al cerrar la denuncia?

Al cerrar la denuncia conviene anonimizar los datos identificativos del denunciante (nombre, correo, teléfono, voz) sustituyéndolos por un identificador anónimo de caso, conservando solo los metadatos necesarios para acreditar la trazabilidad: fecha de entrada, fecha de acuse, responsable de la instrucción y resolución adoptada. La AEPD permite esa anonimización siempre que el canal pueda, técnicamente, reconstruir la información ante un requerimiento de la autoridad competente.

¿Bloquear y anonimizar son lo mismo?

No. Bloquear significa restringir el acceso al expediente a personas autorizadas para atender responsabilidades futuras; anonimizar significa romper el vínculo entre los datos y el interesado, de forma que la información ya no pueda atribuirse a una persona concreta. El bloqueo mantiene el vínculo, pero limita el uso; la anonimización destruye el vínculo, lo que impide atender solicitudes de acceso. Para cumplir la Ley 2/2023 y el RGPD, lo habitual es bloquear primero y anonimizar después, en plazos distintos.

¿Puedo borrar la denuncia si el denunciante me lo pide?

Sí, el denunciante puede ejercer su derecho de supresión (artículo 17 del RGPD), y debes atenderlo, pero solo cuando no concurra otra base jurídica que justifique la conservación, como la existencia de un procedimiento abierto, la obligación legal de conservar la trazabilidad del expediente o la necesidad de defender responsabilidades. Por eso, antes de borrar por solicitud del denunciante, conviene verificar que la denuncia está cerrada y que han prescrito las acciones que pudieran ejercitarse contra él o contra la organización.

¿Qué pasa si borro el expediente antes de los 3 meses desde la resolución?

Borrar el expediente antes de que prescriban las acciones derivadas puede calificarse como supresión de prueba y como infracción del principio de accountability del RGPD. La AEPD puede considerarlo una infracción grave, con multas de hasta 20 millones de euros o el 4% del volumen de negocio. En la vía judicial, la destrucción del expediente antes de plazo se interpreta generalmente en contra de quien lo destruyó, con la consecuencia práctica de que, ante una reclamación, no pueda acreditar que la investigación se hizo correctamente.

Fuentes