Habilitación del formulario oficial de la AIPD: plazo de 2 meses para notificar al Responsable del Canal de Denuncias

El pasado 1 de septiembre de 2025, la Autoridad Independiente de Protección del Informante (AINPI) comenzó oficialmente su actividad. Desde entonces, existe la obligación legal de comunicar a esta autoridad quién es el Responsable del Sistema Interno de Información en cada organización sujeta a la normativa.

No obstante, la AINPI publicó una nota informativa el 8 de octubre de 2025 en la que aclaraba que el plazo de dos meses para efectuar esta comunicación no empezaría a contar hasta que estuviera disponible la sede electrónica con el formulario oficial habilitado. 

Ese momento ha llegado y hoy, lunes 9 de febrero de 2026, el formulario ya está operativo y accesible a través de https://sede.proteccioninformante.gob.es, por lo que a partir de ahora comienza a correr el plazo de dos meses para realizar la notificación.

¿Quiénes están obligados a comunicar este nombramiento?

En primer lugar, todas las entidades del sector público, sin ningún tipo de excepción. En el sector privado, la obligación recae sobre las empresas que cuenten con cincuenta o más trabajadores. Además, determinados sectores considerados estratégicos o regulados (como el financiero, la prevención del blanqueo de capitales, el transporte, el medio ambiente, la salud o la protección de datos) deben cumplir con esta obligación con independencia del número de empleados que tengan.

Un punto importante que hay que subrayar es que aquellas entidades que en su momento realizaron la comunicación por correo electrónico, ahora también deben hacerlo a través del formulario oficial, dado que la notificación realizada inicialmente vía email, no tiene eficacia jurídica plena, por lo que debe formalizarse mediante el cauce oficial ahora disponible.

El Responsable del Sistema Interno de Información desempeña un papel central en todo el mecanismo del canal de denuncias. Entre sus principales obligaciones destacan recibir y registrar adecuadamente las comunicaciones que lleguen, acusar recibo en un plazo máximo de siete días, mantener informado al denunciante sobre el estado de su denuncia en un plazo no superior a tres meses, garantizar en todo momento la confidencialidad absoluta de la identidad del informante y, por supuesto, velar por que no se produzcan represalias contra quien haya realizado la comunicación.

En cuanto a los plazos, como ya hemos señalado, existe un plazo extraordinario de dos meses desde la habilitación del formulario que arranca el 9 de febrero de 2026. Este plazo extraordinario se aplica a todas aquellas entidades que ya habían designado a su responsable antes de que el formulario estuviera disponible. Una vez transcurrido este periodo, entrará en vigor el régimen ordinario, que obliga a comunicar cualquier nuevo nombramiento o cese en un plazo de diez días hábiles desde que se produzca.

Las consecuencias del incumplimiento no son en absoluto menores. No comunicar la designación o el cese del responsable constituye una infracción grave, sancionable para las personas jurídicas con multas que van desde 10.001 hasta 600.000 euros. Más grave aún es no disponer del Sistema Interno de Información cuando resulta obligatorio: en ese caso estamos ante una infracción muy grave, con sanciones que pueden alcanzar el millón de euros.

Pero no acaba ahí la cosa. A estas multas económicas pueden sumarse sanciones accesorias de considerable impacto, tales como la amonestación pública de la entidad, la prohibición de obtener subvenciones públicas durante un periodo de hasta cuatro años, la imposibilidad de contratar con el sector público durante tres años, e incluso la publicación de la sanción en el Boletín Oficial del Estado. 

Y más allá del ámbito administrativo, no podemos olvidar otras consecuencias indirectas, pero igualmente graves, tales como el evidente daño reputacional, la posible responsabilidad civil derivada de eventuales represalias contra los denunciantes, las dificultades para acreditar la exención de responsabilidad penal de la persona jurídica conforme al artículo 31 bis del Código Penal, o la pérdida de certificaciones en materia de Compliance.

Es por ello que, si tu entidad no lo ha hecho aún, en primer lugar, hay que verificar que el nombramiento del responsable se ha formalizado correctamente mediante acuerdo del órgano competente de la entidad.

A continuación, es necesario acceder a la sede electrónica (bien con certificado digital, DNI electrónico o sistema Cl@ve) y cumplimentar el formulario oficial. Una vez hecho esto, es imprescindible conservar el justificante electrónico que acredita la presentación. Paralelamente, conviene comunicar a toda la plantilla tanto la existencia del canal como la identidad de la persona responsable de su gestión. 

Y por último, resulta muy recomendable aprovechar este momento para revisar que el sistema cumple con todos los requisitos adicionales exigidos por la normativa de aplicación: accesibilidad web, confidencialidad, posibilidad de denuncias anónimas, cumplimiento de los plazos establecidos, formación del personal implicado y existencia de un procedimiento documentado.

En definitiva, las entidades obligadas tienen por delante dos meses para actuar, y no conviene demorar esta gestión. La designación y comunicación del responsable del canal de denuncias no es un simple trámite burocrático, sino una pieza clave del sistema de protección del informante y de prevención de conductas ilícitas dentro de las organizaciones.

Por ello, desde ECIJA insistimos en la conveniencia de realizar cuanto antes esta comunicación y evitar así tanto las sanciones económicas como el resto de las consecuencias negativas que podrían derivarse del incumplimiento.

Nota informativa escrita por el área de Compliance de ECIJA Madrid.