Canal de denuncias (Ley 2/2023): cómo acreditar la fecha de recepción y la no alteración de cada comunicación
Equipo Proovik · 16 sep 2026 · 9 min lectura
Para acreditar la fecha de recepción de una denuncia en el canal interno de la Ley 2/2023, y que no se ha alterado después, calcula el hash SHA-256 de la comunicación tal como se recibió, con sus adjuntos, y séllalo con un sello de tiempo electrónico en el momento de la entrada; repite con el acuse de recibo y con cada asiento del libro-registro. El sello prueba fecha e integridad sin revelar el contenido ni la identidad del informante.
Este artículo forma parte del clúster de prueba de existencia y anterioridad de Proovik y se dirige al responsable del sistema interno de información de una empresa o una entidad pública española. La base jurídica del sello de tiempo está explicada en ¿Qué es un sello de tiempo blockchain?; aquí nos centramos en los hitos del procedimiento de la Ley 2/2023 que dependen de una fecha.
Quién está obligado y qué plazos dependen de la fecha de recepción
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva (UE) 2019/1937. Obliga a disponer de un sistema interno de información a las empresas con cincuenta o más trabajadores, a los partidos, sindicatos y organizaciones empresariales, y a todo el sector público, con un responsable del sistema designado ante la autoridad competente.
El procedimiento gira alrededor de tres fechas:
- La recepción de la comunicación. Desde ella cuentan todos los plazos siguientes. Si la denuncia entró por correo electrónico, formulario web, correo postal o verbalmente (con transcripción), hay que poder decir cuándo, con precisión.
- El acuse de recibo. La ley exige enviar acuse al informante en el plazo de siete días naturales desde la recepción, salvo que ello pueda poner en peligro la confidencialidad.
- La respuesta. El plazo máximo para dar respuesta a las actuaciones de investigación es de tres meses desde la recepción, ampliable hasta otros tres en casos de especial complejidad.
Además, la ley impone un libro-registro de las informaciones recibidas y de las investigaciones internas, con garantías de confidencialidad, cuyos datos personales no pueden conservarse más de diez años. Y establece un régimen de protección frente a represalias con inversión de la carga de la prueba: cuando la persona informante acredita que comunicó y que sufrió un perjuicio, corresponde a quien adoptó la medida demostrar que no fue una represalia. Ahí la fecha de la comunicación es decisiva.
Dónde se rompe la prueba en un canal convencional
La mayoría de canales internos funcionan sobre un buzón de correo o una aplicación gestionada por la propia entidad o por un proveedor. Eso plantea dos problemas cuando la fecha se discute:
- La entidad controla el reloj. La fecha de entrada la anota un sistema que administra la misma organización investigada. Frente a un informante que alega haber denunciado antes de ser despedido, o frente a un inspector que pregunta si el acuse salió en plazo, la organización solo puede ofrecer sus propios registros.
- El contenido puede cambiar. Un adjunto sustituido, una transcripción corregida o un asiento del libro-registro editado no dejan rastro si nadie selló la versión original.
La solución no es publicar nada: sería incompatible con la confidencialidad que la ley exige. La solución es sellar huellas.
Hitos, evidencias y qué demuestra el sello
| Hito del procedimiento | Qué se sella (hash SHA-256 de...) | Qué demuestra el sello |
|---|---|---|
| Recepción de la comunicación | El mensaje original y sus adjuntos, empaquetados en un archivo | Que esa comunicación exacta estaba en poder de la entidad no más tarde de esa fecha |
| Acuse de recibo | El acuse enviado (correo o documento) | Que el acuse existía dentro de los siete días naturales |
| Admisión a trámite o inadmisión | La resolución del responsable del sistema | Fecha y contenido de la decisión |
| Actuaciones de investigación | Actas, entrevistas transcritas, informes periciales | Que cada actuación existía en la fecha y no se ha retocado |
| Respuesta al informante | La comunicación de cierre | Que se respondió dentro de los tres meses (o de la prórroga) |
| Libro-registro | Cada asiento nuevo, o un resumen diario de todos los asientos | Que el registro no se ha reescrito hacia atrás |
Cada sello es un certificado con la transacción y la cabecera del bloque; se archiva junto al expediente. En la cadena solo hay hashes: ni nombres, ni hechos denunciados, ni empresa.
Cómo montarlo en un canal existente
- Define el momento de entrada. Para correo, la recepción en el buzón; para formulario, el envío; para denuncia verbal, la firma de la transcripción por el informante. Documenta esa regla en el procedimiento del canal.
- Empaqueta y sella al recibir. Quien gestione el canal (o el propio sistema, por API) genera un archivo con la comunicación y sus adjuntos y sella su hash antes de cualquier otra actuación.
- Sella el acuse al enviarlo. El propio acuse puede incluir el identificador de la transacción del sello de recepción, para que el informante tenga también su prueba.
- Sella los asientos del libro-registro. Si el volumen es alto, basta con un resumen diario: un fichero con los hashes de los asientos del día, sellado cada noche.
- Conserva ficheros y certificados en el expediente, con el mismo control de acceso que el resto del canal. Y aplica el plazo de conservación de la ley al expediente, no a los sellos, que no contienen datos personales.
La automatización es sencilla: un canal que ya es una aplicación puede llamar a una API con el hash en el momento de guardar cada documento. Un canal que es un buzón puede hacerlo a mano desde una página web en menos de un minuto por comunicación.
Qué dice la norma
Ley 2/2023, artículo 9: el procedimiento de gestión de informaciones debe prever el envío de acuse de recibo de la comunicación al informante en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda poner en peligro la confidencialidad; y un plazo máximo para dar respuesta a las actuaciones de investigación que no puede ser superior a tres meses desde la recepción, ampliable hasta un máximo de otros tres meses en casos de especial complejidad.
Ley 2/2023, artículo 26: los sujetos obligados deben contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando los requisitos de confidencialidad; los datos personales no se conservarán en el libro-registro más allá de diez años.
Ley 2/2023, artículo 7: los canales internos deben permitir comunicaciones por escrito, verbales o de ambas formas, y admitir la presentación anónima.
Directiva (UE) 2019/1937, artículo 9: los procedimientos de denuncia interna incluirán el acuse de recibo al denunciante en un plazo de siete días a partir de la recepción, y un plazo razonable para dar respuesta que no supere los tres meses a partir del acuse de recibo o, si no se envió acuse, a partir de la expiración del plazo de siete días.
Reglamento (UE) 910/2014 (eIDAS), artículo 41.1: no se pueden negar efectos jurídicos ni admisibilidad como prueba a un sello de tiempo electrónico solo por ser electrónico o no cualificado. El sello aquí descrito es no cualificado: sin la presunción de exactitud del artículo 41.2, pero verificable por cualquiera, incluida la autoridad.
Cómo hacerlo con Proovik
En la página certificar el hash del archivo se calcula en el navegador del responsable del canal y solo esa huella se inscribe en la red Kaspa, que produce unos diez bloques por segundo; el sello suele confirmarse en segundos. El certificado PDF incluye el paquete de prueba PVK-PROOF/1 y se puede verificar sin Proovik en la página verificar. Para un canal que ya es una aplicación, la API recibe el hash y devuelve la transacción y la marca temporal del bloque; ni el contenido ni la identidad del informante salen del sistema del canal. Si el volumen es alto y necesitas un flujo a medida, escríbenos desde contacto.
Lo que acredita: que una comunicación, un acuse o un asiento con ese contenido existía no más tarde de la marca temporal del bloque y que no ha cambiado. Lo que no acredita: quién lo envió, que el informante lo enviara realmente en esa fecha (solo que la entidad lo tenía entonces), ni que la entidad cumpla la Ley 2/2023. El cumplimiento depende del procedimiento, de la confidencialidad y de los plazos; el sello te permite demostrarlos.
Preguntas frecuentes
¿Sellar el hash de una denuncia vulnera la confidencialidad?
No. El hash no contiene información: es una huella de 32 bytes de la que no se puede reconstruir el documento ni deducir quién lo envió. El contenido sigue en el canal, con el control de acceso que la ley exige.
¿Sirve también para el informante?
Sí. El informante puede sellar su propia comunicación antes de enviarla y conservar el certificado. Si más tarde tiene que probar que denunció antes de sufrir un perjuicio, tiene una fecha que no depende de la empresa.
¿Qué pasa con las denuncias verbales?
La ley permite comunicaciones verbales, que deben documentarse con una grabación o una transcripción completa y exacta. Se sella esa grabación o esa transcripción firmada por el informante, en el momento en que se cierra.
¿Un sello no cualificado basta ante la Autoridad Independiente de Protección del Informante?
Es admisible como prueba (artículo 41.1 de eIDAS) y su comprobación es aritmética. No tiene la presunción del artículo 41.2 de los sellos cualificados; si la fecha se discute, quien presenta el sello debe mostrar el fichero y el certificado para que cualquiera repita la verificación.
Fuentes
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas (BOE): boe.es/eli/es/l/2023/02/20/2/con
- Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión: eur-lex.europa.eu/eli/dir/2019/1937/oj
- Reglamento (UE) 910/2014 (eIDAS): eur-lex.europa.eu/eli/reg/2014/910/oj
- Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza: boe.es/eli/es/l/2020/11/11/6
Equipo Proovik. Publicado el 18 de septiembre de 2026; última revisión el 6 de septiembre de 2026. Este artículo es información general, no asesoramiento jurídico.