Libro-registro del canal de denuncias: qué debe contener según el artículo 26

El libro-registro es el documento que acredita que tu Sistema Interno de Información funciona. El artículo 26 de la Ley 2/2023 obliga a registrar todas las comunicaciones recibidas, las actuaciones realizadas y el resultado de cada expediente. En una inspección o auditoría, es el primer documento que se solicita. Sin él, el canal de denuncias existe en teoría pero no en la práctica jurídica.

Qué dice exactamente el artículo 26 de la Ley 2/2023

El artículo 26 establece que el responsable del Sistema Interno de Información debe mantener un registro de las informaciones recibidas y de las investigaciones internas iniciadas como consecuencia de ellas, garantizando en todo caso la confidencialidad de los datos personales implicados.

La norma no especifica un formato concreto, pero sí exige que el registro sea completo, que permita identificar el estado de cada expediente y que se conserve durante el tiempo mínimo establecido por la normativa de protección de datos.

Qué información debe contener el libro-registro

Aunque la ley no impone una plantilla específica, la práctica consolidada y las guías de la AIPI apuntan a los siguientes campos mínimos:

Por cada comunicación recibida:

• Número de expediente (identificador único, sin datos personales del informante)
• Fecha de recepción
• Canal de entrada (escrita, verbal, anónima, identificada)
• Categoría de la infracción comunicada (laboral, financiera, penal, etc.)
• Fecha del acuse de recibo al informante
• Responsable asignado al expediente

Durante la gestión del expediente:

• Actuaciones realizadas y fechas de cada una
• Comunicaciones con el informante (sin revelar su identidad en el registro si es anónimo)
• Evidencias recabadas (referenciadas, no copiadas en el registro)
• Decisiones intermedias y motivación

Al cierre del expediente:

• Resultado (archivado, derivado a autoridad externa, sanción interna, etc.)
• Fecha de cierre
• Medidas adoptadas por la organización si procede

Qué no debe contener el libro-registro

El registro no debe incluir datos personales del informante más allá de los estrictamente necesarios para la gestión del expediente, y nunca si la denuncia es anónima. Incluir datos identificativos del informante en el libro-registro, que puede ser accesible a más personas que el responsable del sistema, sería una vulneración de confidencialidad sancionable.

¿Cuánto tiempo hay que conservar el libro-registro?

La Ley 2/2023 no fija un plazo específico. Remite a la normativa de protección de datos, que exige conservar los datos únicamente durante el tiempo necesario para la finalidad para la que se recogieron. En la práctica, el criterio habitual es:

• Mínimo: el tiempo necesario para resolver el expediente y eventuales recursos o procedimientos judiciales derivados.
• Recomendado: 5 años desde el cierre del expediente, plazo habitual en normativa de compliance y coherente con plazos de prescripción de infracciones administrativas.

Pasado ese plazo, los datos deben suprimirse o anonimizarse.

Errores frecuentes en el libro-registro

No tenerlo. El error más básico y el más frecuente. Muchas organizaciones gestionan las denuncias por correo electrónico o reuniones informales sin dejar registro estructurado.

Registro incompleto. Anotar solo la recepción pero no las actuaciones ni el cierre. En una auditoría, un expediente sin cierre documentado se interpreta como un expediente abierto e irregular.

Incluir datos personales del informante anónimo. Cuando el sistema de gestión no separa la identidad del informante del contenido del expediente, existe riesgo de vulneración de confidencialidad.

Registro en papel o en hojas de cálculo sin control de acceso. El libro-registro debe tener control de acceso restringido al responsable del sistema y a las personas designadas.

Cómo Canal360 genera el libro-registro automáticamente

Canal360 genera el libro-registro de forma automática a partir de las actuaciones registradas en la plataforma. Cada expediente queda documentado con estado, fechas, actuaciones y resultado. El responsable puede exportar el registro en cualquier momento en formato PDF o Excel, listo para auditorías, inspecciones o due diligence.

La separación entre datos del informante y contenido del expediente está garantizada por diseño: Canal360 no revela la identidad del informante anónimo ni siquiera al gestor, salvo que el propio informante decida identificarse.

Preguntas frecuentes

¿El libro-registro debe estar firmado o validado de alguna forma?
La ley no exige firma ni validación notarial. Lo que importa es que sea completo, actualizado y que tenga control de acceso que garantice que no ha sido manipulado. Las plataformas digitales con registro de auditoría interna (logs) cumplen mejor este requisito que los registros en papel.

¿Qué pasa si en el libro-registro hay expedientes de hace años y nunca se cerraron?
Deberían cerrarse retroactivamente con la información disponible y documentar la fecha real de cierre. Los expedientes abiertos sine die son una señal de alerta en cualquier auditoría.

¿El libro-registro tiene que estar en español?
Para empresas con sede en España, sí es recomendable que esté en español, especialmente si puede ser objeto de inspección por parte de la AIPI o de un organismo sectorial español.