La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas, no es una ley solo para empresas: su artículo 13 obliga a todas las entidades que integran la Administración local, incluidos los ayuntamientos más pequeños, a disponer de un sistema interno de información. Un municipio de 800 habitantes con tres empleados difícilmente puede montar un canal con responsable, plazos, libro-registro y garantías de confidencialidad, y la ley lo sabe: el artículo 14 permite que los municipios de menos de 10.000 habitantes compartan el sistema entre sí o con otras Administraciones de su comunidad autónoma, lo que en la práctica convierte a las Diputaciones en el lugar natural para prestarlo. Esta guía explica, a 16 de septiembre de 2026, qué exige el sistema, cómo se organiza uno compartido, qué relación tiene con el canal externo de la Autoridad Independiente de Protección del Informante (AIPI) y qué debe tener el software que lo soporta. El planteamiento general para una empresa privada lo tratamos en canal de denuncias obligatorio: cómo cumplir la Ley 2/2023; aquí nos centramos en la Administración local.

Quién está obligado en el sector público

El artículo 13 de la Ley 2/2023 incluye en la obligación a la Administración General del Estado, las comunidades autónomas, las entidades locales, los organismos y entidades públicas vinculadas o dependientes, las autoridades administrativas independientes, las universidades públicas, las corporaciones de derecho público, las fundaciones del sector público y las sociedades mercantiles con participación pública mayoritaria. No hay umbral de plantilla ni de población: todo ayuntamiento está obligado a que exista un sistema interno de información al que sus empleados y las personas que se relacionan con él puedan acudir.

Los plazos ya han pasado: las Administraciones debían tener el sistema implantado a los tres meses de la entrada en vigor de la ley, en junio de 2023, y los municipios de menos de 10.000 habitantes disponían hasta el 1 de diciembre de 2023. Lo que queda por hacer en muchos casos no es cumplir un plazo, sino sustituir una solución improvisada (un correo electrónico, un formulario sin garantías) por un sistema que cumpla la ley.

El sistema compartido del artículo 14

El artículo 14 abre dos vías de compartición para el sector público:

Los municipios de menos de 10.000 habitantes pueden compartir el sistema interno de información y los recursos para la gestión de las comunicaciones entre sí o con cualquier otra Administración pública de su comunidad autónoma.
Las entidades vinculadas o dependientes de Administraciones territoriales que tengan menos de 50 empleados pueden compartir el sistema con la Administración de la que dependen.

La compartición tiene un límite claro: debe garantizarse que los sistemas son independientes entre sí y que aparecen diferenciados respecto del resto de sistemas de la entidad que los presta, de forma que una denuncia dirigida al ayuntamiento A no la vea nadie del ayuntamiento B ni del servicio de la Diputación que no sea el responsable designado. Compartir la plataforma y el conocimiento, sí; mezclar los expedientes, no.

La Diputación, que por la Ley 7/1985 ya presta servicios de administración electrónica a los municipios de menos de 20.000 habitantes, es la que suele ofrecer el sistema: una única plataforma con un espacio separado por ayuntamiento, un responsable por entidad (o uno común designado formalmente por cada una) y un equipo técnico que sostiene la herramienta.

Qué exige el sistema, comparta o no

Los requisitos son los mismos que para cualquier entidad obligada, adaptados a la Administración:

Responsable del sistema (artículo 8): designado por el órgano competente de la entidad, puede ser una persona o un órgano colegiado, con independencia y autonomía y sin instrucciones en el ejercicio de sus funciones; la designación se comunica a la AIPI o a la autoridad autonómica.
Canal interno (artículo 7) que permita comunicaciones por escrito, verbalmente o de ambas formas, incluida la reunión presencial a petición del informante, y que admita comunicaciones anónimas.
Información pública: en la web de la entidad, en una sección separada y fácil de identificar, sobre el uso del canal interno y sobre los principios del canal externo.
Acuse de recibo en siete días naturales y respuesta en un plazo máximo de tres meses, ampliable otros tres en casos de especial complejidad.
Libro-registro de las informaciones recibidas y de las investigaciones internas, con garantías de confidencialidad, no público y accesible solo a la autoridad judicial competente; los datos se conservan el tiempo imprescindible y nunca más de diez años.
Procedimiento de gestión aprobado, con las fases de recepción, admisión, instrucción, terminación y comunicación de resultados.
Confidencialidad de la identidad del informante y de los terceros mencionados, y prohibición de represalias durante dos años.
Protección de datos (artículos 29 a 33): tratamiento limitado a la finalidad, acceso restringido al responsable y a quien gestione las investigaciones, supresión a los tres meses si no se admite, y evaluación de impacto cuando proceda.
Integración de canales: si la entidad ya tenía canales de denuncia (por ejemplo, de acoso o de contratación), el sistema interno los integra bajo la misma gestión.

Cómo organizar un sistema compartido desde la Diputación

Acuerdo o convenio entre la Diputación y cada ayuntamiento adherido, con el reparto de funciones: la Diputación presta la plataforma y el soporte; cada ayuntamiento designa a su responsable y aprueba su procedimiento (o adopta uno tipo).
Designación formal del responsable por el Pleno o la Alcaldía de cada municipio, comunicada a la autoridad competente. Puede ser común a varios municipios si cada uno lo designa expresamente.
Plataforma con espacios independientes: un canal por entidad, con su propia URL o acceso desde su sede electrónica, sus usuarios y su libro-registro, sin visibilidad cruzada.
Procedimiento tipo adaptado a la Administración local: recepción, comprobación de competencia, admisión, instrucción con garantías de audiencia, remisión al Ministerio Fiscal cuando los hechos puedan ser delito, terminación y comunicación.
Información en cada web municipal: sección propia sobre el canal interno y sobre el canal externo de la AIPI.
Formación a los responsables y a los secretarios-interventores, que son quienes recibirán las primeras comunicaciones.
Seguimiento: la Diputación mantiene la herramienta y los plazos; cada ayuntamiento responde de sus expedientes.

El canal externo de la AIPI

Desde el 1 de septiembre de 2025 está operativo el canal externo de la Autoridad Independiente de Protección del Informante, al que cualquier persona puede acudir directamente o tras usar el canal interno. Algunas comunidades autónomas tienen su propia autoridad externa para las Administraciones de su ámbito. El canal interno no sustituye al externo ni al revés: la ley prefiere que la información se comunique primero internamente, pero el informante elige. Para un ayuntamiento, tener un canal interno que funciona es la forma de conocer y resolver los problemas antes de que lleguen a la autoridad externa, que sí puede requerir la implantación del sistema a quien no lo tenga.

Qué debe tener el software

Multientidad con aislamiento real: cada ayuntamiento es un espacio independiente, con su responsable, sus usuarios, su libro-registro y su configuración, sobre una plataforma común.
Canal escrito y verbal: formulario con adjuntos, buzón de voz o grabación con consentimiento, y cita para reunión presencial, con transcripción o acta.
Anonimato técnico: comunicación sin datos identificativos, con un código de seguimiento para que el informante consulte el estado y aporte información sin revelar quién es.
Plazos automáticos: acuse en siete días, plazo de tres meses con alertas y prórroga motivada.
Libro-registro conforme a la ley, con control de acceso, trazabilidad de cada consulta y conservación limitada a diez años.
Gestión del expediente: fases, tareas, comunicaciones con el informante y con la persona afectada, remisión al Ministerio Fiscal, cierre y estadísticas agregadas.
Protección de datos: cifrado, minimización, supresión automática de lo no admitido a los tres meses, registro de actividades y evidencia para la evaluación de impacto.
Integración con la sede electrónica y con el gestor de expedientes, con la separación que la ley exige.
Conformidad ENS: el sistema trata datos especialmente sensibles y debe estar dentro del alcance ENS de la entidad o del proveedor, como explicamos en qué exigir al proveedor de software municipal en materia de ENS.

Cómo lo hace CEDESA

CEDESA desarrolla software a medida para el sector público, con gestores de expedientes y sedes electrónicas para Diputaciones como las de Badajoz, Toledo y Ourense, que prestan servicios a los ayuntamientos de su provincia. Un sistema interno de información compartido encaja en ese modelo: plataforma común con espacios aislados por entidad, responsable y procedimiento propios, plazos y libro-registro automáticos, integración con la sede electrónica y el gestor de expedientes, y todo dentro de nuestra certificación ENS de categoría media e ISO 27001, que es lo que un tratamiento de este tipo exige. Cómo encaja un gestor de expedientes con la Ley 39/2015 y el ENI lo detallamos en qué debe cumplir un gestor de expedientes a medida.

Preguntas frecuentes sobre el canal interno en ayuntamientos pequeños

¿Está obligado un ayuntamiento de menos de 10.000 habitantes a tener canal de denuncias?

Sí. El artículo 13 de la Ley 2/2023 obliga a todas las entidades que integran la Administración local, sin umbral de población ni de plantilla. Lo que permite el artículo 14 es que los municipios de menos de 10.000 habitantes compartan el sistema interno de información entre sí o con otras Administraciones de su comunidad autónoma.

¿Puede la Diputación gestionar el canal de denuncias de sus municipios?

Puede prestar la plataforma y los recursos de gestión como sistema compartido, siempre que cada ayuntamiento designe a su responsable, que los sistemas sean independientes entre sí y que aparezcan diferenciados del resto de sistemas de la Diputación. Los expedientes de cada municipio no pueden ser visibles para los demás.

¿Qué plazos tiene que cumplir el canal interno de un ayuntamiento?

Acuse de recibo al informante en siete días naturales y respuesta en un máximo de tres meses, ampliables otros tres en casos de especial complejidad. Las comunicaciones no admitidas se suprimen a los tres meses y el libro-registro se conserva el tiempo imprescindible, nunca más de diez años.

¿Debe admitir denuncias anónimas el canal de un ayuntamiento?

Sí. El artículo 7 de la Ley 2/2023 exige que el canal interno permita presentar comunicaciones anónimas, además de las identificadas, por escrito o verbalmente, y que el informante pueda hacer seguimiento y aportar información sin revelar su identidad.

¿Qué relación hay entre el canal interno municipal y el canal externo de la AIPI?

Son complementarios. El canal externo de la Autoridad Independiente de Protección del Informante está operativo desde el 1 de septiembre de 2025 y cualquier persona puede acudir a él directamente o tras usar el canal interno; la ley prefiere la comunicación interna pero no la impone. Un canal interno que funciona permite al ayuntamiento conocer y resolver los hechos antes.

Conclusión

Todos los ayuntamientos están obligados a tener un sistema interno de información, y los de menos de 10.000 habitantes pueden cumplirlo compartiendo la plataforma con otros municipios o con su Diputación, siempre con responsable propio, espacios independientes y las mismas garantías de anonimato, plazos, libro-registro y protección de datos. La diferencia entre un canal que cumple y un formulario que no, está en el software y en la organización que lo sostiene. Si tu Diputación o tu ayuntamiento quiere resolverlo de una vez para todos sus municipios, cuéntanos cuántos son y qué tienen hoy.