Casi todas las empresas tienen una regla no escrita para quien entra: «se pasa por recepción y se firma». Pocas tienen un protocolo de verdad, es decir, un documento que diga quién recibe, qué se registra, quién acompaña, qué ocurre en caso de emergencia y durante cuánto tiempo se conservan los datos. Esta guía explica cómo redactarlo de forma sencilla, cómo hacer que se cumpla sin sobrecargar la recepción y qué esperar cuando un auditor pide verlo.
En resumen
Un protocolo de visitas (o procedimiento de acceso de visitantes) es el documento interno que establece quién puede entrar, cómo se registra, quién responde por esa persona mientras está dentro y cómo sale. Le sirve a recepción para trabajar siempre igual, al responsable de seguridad para saber quién está en la empresa si hay una emergencia y a quien gestiona la privacidad para tratar correctamente los datos de los visitantes.
No tiene que ser largo: dos o tres páginas bien escritas bastan casi siempre. Lo que sí debe ser es aplicable cada día, porque un protocolo que recepción no consigue seguir un lunes a las 8 de la mañana es solo una hoja en una carpeta. El registro de visitantes —en papel o digital, como IRIGuest— es la herramienta que hace que el protocolo sea verificable.
El protocolo de visitas suele nacer por uno de estos tres motivos: una inspección o una auditoría en la que preguntaron «¿cómo gestionan los accesos?», un episodio desagradable (una persona encontrada en planta sin que nadie supiera quién era) o el paso a un registro digital, que obliga a decidir de una vez por todas qué datos se recogen. En los tres casos el problema es el mismo: las reglas existen, pero viven en la cabeza de quien está en recepción.
Ponerlas por escrito no es burocracia. Es la manera de que recepción, el compañero que la sustituye en vacaciones, el responsable de área y el vigilante del turno de noche hagan todos lo mismo. Y, cuando llega una auditoría, de responder con un documento en lugar de con un «normalmente lo hacemos así».
Esta página es una guía operativa para redactar el documento. Si la pregunta previa es si el registro de visitas es obligatorio, la hemos tratado aparte, junto con las demás guías sobre el registro de visitantes.
Un protocolo de visitas (también llamado procedimiento de acceso de visitantes, reglamento de accesos o política de visitantes) describe el recorrido de una persona externa desde que se presenta en la entrada hasta que abandona la empresa. No es el registro: el registro es la huella; el protocolo es la regla que dice qué queda en esa huella y quién se ocupa de ella.
Sirve para cuatro cosas muy concretas. Seguridad: saber en todo momento quién está dentro, dónde y con quién, para gestionar una emergencia y evitar que personas ajenas circulen por zonas restringidas. Privacidad: recoger solo los datos necesarios, informar al visitante y no conservarlos más de lo debido. Imagen: una acogida igual para todos, ordenada y rápida, es la primera impresión que la empresa da a clientes y candidatos. Verificabilidad: poder demostrar a un auditor, a un cliente o a una aseguradora que los accesos están bajo control.
El protocolo se ocupa de los visitantes en sentido estricto —clientes, candidatos, consultores, familiares, delegaciones— y marca la frontera con las demás presencias externas, que siguen reglas propias.
El riesgo más frecuente no es escribir un protocolo equivocado: es escribir uno demasiado ambicioso, con diez páginas, formularios por triplicado y un flujo que nadie consigue seguir. La medida correcta es la que recepción aplica sin tener que pensarlo.
Un protocolo funciona cuando cada paso tiene un responsable con nombre y apellidos o, al menos, con un rol preciso. En las pymes las figuras implicadas son casi siempre cuatro.
Aprueba el protocolo y decide las reglas de fondo: quién puede recibir visitantes, si hace falta acompañamiento, qué zonas son restringidas. Sin este paso, el protocolo se queda en una iniciativa de recepción y se ignora a la primera excepción.
Define la información que se entrega al visitante (normas del centro, cómo actuar en una emergencia) y, junto con quien se ocupa de la protección de datos —el delegado de protección de datos, si lo hay—, decide qué datos recoger, cuánto tiempo conservarlos y qué debe decir el aviso de privacidad.
Es quien aplica el protocolo cada día: recibe, registra, entrega la credencial, avisa al anfitrión y cierra la visita a la salida. Hay que implicarla en la redacción; de lo contrario, el documento describe un flujo teórico y no el real.
Quien recibe la visita es responsable del visitante durante toda su permanencia: lo acoge, lo acompaña donde haga falta y lo lleva de vuelta a la salida. Es el rol más descuidado y el que, cuando surge un problema, más cuenta.
Un protocolo con estos cuatro roles claros cubre el 90 % de los casos. En centros con varios accesos y turnos se añade la vigilancia nocturna o el almacén, que gestiona transportistas y entregas con un recorrido reducido. Cómo distinguir estas presencias de las de la plantilla se explica en la guía sobre registro de visitantes y control de presencia de empleados.
No existe un formato obligatorio. En la práctica, un protocolo de visitas completo y todavía legible contiene las secciones siguientes, en el orden en que recepción se las encuentra a lo largo de una jornada.
| Sección | Qué contiene | Qué tan habitual es |
|---|---|---|
| Objeto y ámbito de aplicación | A quién se aplica (visitantes) y a quién no (empresas externas, empleados, mensajeros), en qué sedes y accesos | Esencial |
| Roles y responsabilidades | Quién recibe, quién registra, quién acompaña, quién decide las excepciones | Esencial |
| Registro | Datos recogidos, herramienta utilizada (registro en papel o digital), campos obligatorios | Esencial |
| Identificación y credencial | Si se entrega una credencial de visitante y cómo, qué indica, cuándo se devuelve | Frecuente |
| Acompañamiento y zonas | Dónde puede moverse solo el visitante, dónde va acompañado, zonas prohibidas | Esencial |
| Información al visitante | Normas del centro, cómo actuar en una emergencia, prohibiciones (fotos, fumar) y equipos de protección donde se exijan | Frecuente |
| Privacidad | Aviso de privacidad, base jurídica del tratamiento, plazos de conservación, quién puede consultar el registro | Esencial |
| Emergencia | Cómo se obtiene la lista de presentes, quién la lleva al punto de reunión, quién cuenta a los visitantes | Esencial |
| Salida y cierre | Registro de salida, devolución de la credencial, cierre de las visitas que quedan abiertas al final del día | Frecuente |
| Excepciones y revisión | Visitas fuera de horario, delegaciones numerosas, quién autoriza las excepciones, cada cuánto se revisa el documento | Según el caso |
Si prefieres partir de una plantilla, el kit gratuito de registro de visitantes incluye una checklist RGPD y las plantillas de registro de las que extraer la sección sobre el registro: las columnas del registro son, de hecho, los datos que el protocolo debe prever.
El corazón del protocolo es el flujo operativo: seis momentos, siempre los mismos, con un responsable cada uno. Es la parte que hay que escribir junto con quien está en recepción.
El visitante se presenta en el punto de acogida indicado. El protocolo dice qué hacer si recepción no está atendida (interfono, anfitrión al que llamar, tablet en modo de autorregistro).
Se recogen los datos previstos: nombre, empresa, persona a la que visita, hora de entrada. Nada más. En un registro digital los campos obligatorios son obligatorios de verdad y la hora se anota sola.
El visitante lee el aviso de privacidad y las normas del centro. La firma en pantalla deja constancia de qué se mostró y a quién, sin hojas que archivar.
Donde esté previsto, se entrega una credencial de visitante visible con nombre y empresa. Qué poner en ella y cómo imprimirla se explica en la guía sobre la credencial de visitante.
Se avisa al anfitrión, que viene a recoger al visitante. En la versión Cloud de IRIGuest la notificación sale automáticamente en el momento del registro. A partir de ahí, la responsabilidad es suya.
El visitante devuelve la credencial y se anota la hora de salida. Es el paso que el papel pierde en una de cada dos líneas: el protocolo debe decir quién cierra las visitas que quedan abiertas al final del día.
Cómo se traducen estos seis momentos en la práctica, en una tablet en recepción, se describe en la página sobre cómo funciona el registro de visitantes. El protocolo no debe describir la app: debe describir las reglas, y la app debe ayudar a cumplirlas.
El registro de visitantes contiene datos personales, así que el protocolo debe responder a las preguntas que el RGPD —y, en España, la LOPDGDD— plantea a cualquier tratamiento: qué datos recoges, para qué, durante cuánto tiempo los conservas, quién puede verlos y cómo informas al interesado. No hace falta un capítulo jurídico: hacen falta cinco respuestas claras.
La regla práctica es la minimización: nombre, empresa, anfitrión y horas bastan casi siempre. El documento de identidad solo se pide si un procedimiento de seguridad lo exige de verdad y, en ese caso, se anota, no se fotocopia. El aviso de privacidad debe ser breve, estar disponible en el acceso y —en un registro digital— mostrarse antes de la firma.
El punto más delicado es la visibilidad: un registro en papel muestra a quien firma los nombres de quienes firmaron antes. El protocolo debe prever que los visitantes no puedan consultar el registro, algo que en papel exige precauciones (hojas individuales, libro cerrado) y que en una tablet es la condición de partida.
Si la privacidad es lo que más te preocupa, la página sobre registro de visitantes y RGPD entra en el detalle del aviso, los consentimientos y la firma en pantalla. Aquí basta con recordar que el protocolo es el lugar donde esas decisiones se escriben, una sola vez.
Es, en el fondo, el motivo por el que existe el registro. Cuando se activa una evacuación, en el punto de reunión hay que saber quién debería estar allí, y los visitantes no aparecen en ninguna lista de personal. Un protocolo serio dice quién imprime o abre la lista de presentes, quién la lleva al punto de reunión y quién comprueba que cada visitante registrado ha salido.
En papel este paso es frágil: el registro está en recepción, recepción está evacuando, y las líneas sin hora de salida no dicen si la persona sigue dentro. En un registro digital, la lista de las visitas todavía abiertas está disponible en cualquier momento —también desde otro dispositivo en la versión Cloud— y las visitas cerradas no aparecen.
El protocolo también debe fijar el papel del anfitrión: el visitante está bajo su responsabilidad, así que es él quien lo conduce al punto de reunión y quien comunica su presencia. Es una línea en el documento, pero es la línea que en una emergencia real marca la diferencia.
En los centros productivos con varias entradas, la lista de presentes debe componerse con los datos de todos los accesos. Es una de las razones por las que, a partir de cierto tamaño, el registro único centralizado descrito en la página sobre la gestión de visitantes en plantas industriales no es un lujo, sino una necesidad.
Muchas empresas redactan el protocolo de visitas la semana anterior a una auditoría. No es la motivación más noble, pero es realista, y entonces conviene saber qué se suele pedir según el contexto. Las indicaciones que siguen son orientativas: cada esquema de certificación tiene sus propios requisitos, y la valoración corresponde al organismo que audita.
| Contexto | Qué se pide, en general | Qué evidencias presentar |
|---|---|---|
| ISO/IEC 27001 (seguridad de la información) | Control de la entrada física a las zonas protegidas (Anexo A, control 7.2): rastro de quién entra, cuándo y, en su caso, con qué acompañamiento. El Esquema Nacional de Seguridad (ENS), para el sector público español y sus proveedores, va en la misma línea | Protocolo escrito, registro consultable, histórico con búsqueda por fecha |
| ISO 9001 / IATF 16949 (calidad, automoción) | No prescriben un registro, pero en las auditorías —sobre todo de cliente— se comprueba cómo se controla el acceso a las áreas de producción y cómo se protegen el producto y la información | Protocolo, evidencia del acompañamiento, registro |
| BRCGS / IFS (seguridad alimentaria) | Acceso controlado de visitantes y contratistas a las zonas de producción; lectura de las normas de higiene y de comportamiento | Registro con firma de las normas, protocolo, credencial o identificación |
| ISO 45001 y prevención de riesgos laborales | Información sobre los riesgos del centro a las personas externas, gestión de las emergencias, coordinación con las empresas que entran a trabajar | Información entregada en el acceso, lista de presentes, procedimiento de evacuación |
| RGPD (protección de datos) | Base jurídica del tratamiento, información al interesado, minimización, plazos de conservación, quién accede a los datos | Aviso de privacidad, registro de actividades de tratamiento, procedimiento de supresión |
| Cliente o aseguradora (auditoría de segunda parte) | Quién entra, cuándo, quién responde por esa persona; a veces también quién accedió a una zona en una fecha concreta | Histórico consultable y exportable |
La buena noticia es que los auditores piden casi siempre las mismas tres cosas: el documento, el rastro y una prueba de que el rastro se usa («¿me enseña quién entró el 12 de marzo?»). Con un registro en papel, la tercera petición significa hojear; con un registro digital, significa una búsqueda.
Los protocolos de visitas fallan casi siempre por los mismos motivos, y casi nunca porque faltara una norma que citar.
Qué hacen los protocolos que funcionan
Qué los hace fallar
La comparación entre herramientas —hoja, Excel o tablet— se trata en la guía sobre registro de visitas en papel, Excel o digital. Merece la pena leerla antes de redactar la sección sobre el registro: la herramienta condiciona lo que el protocolo puede pedir de forma realista.
Un esqueleto para adaptar a tu empresa. Cada punto corresponde a un párrafo del documento: si consigues escribir dos o tres líneas para cada uno, el protocolo está hecho.
Diez párrafos y, al pie, una línea con fecha y firma de la dirección. Si el documento supera las tres páginas, casi seguro que está describiendo la app o repitiendo la normativa: las dos cosas están mejor en otro sitio.
Un protocolo bien redactado pide poco a recepción, pero lo pide siempre. Y ese es justo el punto en el que el registro en papel cede: la hora de salida sin rellenar, el nombre ilegible, el aviso de privacidad que nadie hizo firmar. Un registro digital no cambia las reglas: las convierte en el camino más fácil. Los campos obligatorios siguen siendo obligatorios, el aviso aparece antes de la firma, la hora se anota sola y la lista de presentes está siempre a mano.
Con IRIGuest las preguntas del registro son personalizables, los consentimientos se firman en la pantalla y los visitantes no pueden consultar el registro. La versión gratuita basta para una recepción; la versión Cloud añade las notificaciones automáticas al anfitrión, el preregistro con código QR y un único histórico incluso con varios accesos y varias sedes.
Lo que el registro no hace, para que quede claro: no abre tornos ni barreras, no verifica la documentación de las empresas externas, no forma a los trabajadores externos y no sustituye al control de presencia de los empleados. Hace una sola cosa, y la hace siempre igual: registra quién entra y quién sale, como el protocolo prevé. El contexto más amplio en el que se inscribe es el de la recepción digital.
Referencias normativas y técnicas para profundizar. Esta página tiene finalidad informativa y no sustituye el asesoramiento jurídico ni el del servicio de prevención o del consultor de privacidad. Los requisitos cambian según el país: comprueba cuáles se aplican donde está tu centro.
En general, ninguna norma exige un documento llamado «protocolo de visitas». Sí existen obligaciones que lo convierten, en la práctica, en la forma más sencilla de cumplirlas: gestionar las emergencias teniendo en cuenta a las personas externas presentes, coordinarse con las empresas que entran a trabajar y tratar correctamente los datos de los visitantes. Y muchos esquemas de certificación, empezando por la ISO 27001, piden que los accesos físicos estén controlados y dejen rastro. El tema se desarrolla en la guía sobre si el registro de visitas es obligatorio; la normativa concreta depende del país en el que está tu centro.
Dos o tres páginas. Un protocolo más largo suele describir la herramienta en lugar de las reglas, o repetir la normativa. Conviene mantener el documento breve y acompañarlo de una versión reducida —diez líneas— para tener en recepción.
El mínimo que exige la finalidad: nombre y apellidos, empresa, persona a la que visita, hora de entrada y de salida. El motivo de la visita y la matrícula o placa del vehículo solo si hacen falta de verdad; el documento de identidad solo si un procedimiento de seguridad lo exige y, en ese caso, se anota sin fotocopiarlo. Cada campo de más es tiempo de más en el acceso y un dato más que custodiar.
Depende de lo que pidas. El aviso de privacidad debe estar disponible y, si quieres documentar que se ha mostrado, la firma es la forma más sencilla. Lo mismo vale para la lectura de las normas del centro, que en entornos industriales o alimentarios se pide casi siempre. Con IRIGuest la firma se recoge en la pantalla y queda asociada al registro.
El protocolo debe preverlo expresamente, porque es el caso más frecuente en las pymes. Las soluciones habituales son una tablet en modo de autorregistro en la entrada, un interfono con la lista de anfitriones o la obligación de que el anfitrión baje a recibir al visitante. Lo que no funciona es dejar la decisión en manos de quien pase por allí.
Es responsable del visitante durante toda la visita: lo recibe, lo acompaña por las zonas donde no puede moverse solo, lo conduce al punto de reunión en caso de emergencia y lo lleva de vuelta a la salida, donde se registra su hora de salida. El protocolo debe decirlo por escrito, porque es el rol que todo el mundo da por supuesto y que nadie ha leído nunca.
Mejor un protocolo de grupo con un anexo por sede: las reglas (datos recogidos, privacidad, roles, emergencia) son las mismas en todas partes; solo cambian los accesos, los horarios y los anfitriones. En cuanto a herramientas, la versión Cloud de IRIGuest permite aplicar la misma configuración a todas las sedes y consultar un único histórico.
En general, que la entrada física a las zonas protegidas esté controlada: quien entra debe ser identificado, registrado con fecha y hora y, donde haga falta, acompañado. Querrá ver el protocolo, el registro y una prueba de que el registro se puede consultar; por ejemplo, quién accedió a una zona determinada en una fecha concreta. La valoración final corresponde, en cualquier caso, al organismo de certificación.
El RGPD no fija un plazo único: exige que el periodo se defina según la finalidad, figure en el aviso de privacidad y se respete. Muchas empresas adoptan plazos de algunos meses para los visitantes ordinarios y más largos para los accesos relacionados con la seguridad. Lo importante es decidirlo en el protocolo y prever quién elimina los datos al vencimiento.
Sí, para una única recepción: la versión gratuita funciona sin conexión, sin límite de tiempo, con preguntas personalizables, aviso de privacidad y firma en la pantalla, y exportación a CSV. Las notificaciones automáticas al anfitrión, el preregistro con código QR, el registro único con varios accesos y sedes y el informe centralizado son funciones de la versión Cloud.
Prueba IRIGuest gratis en recepción, o mira en dos minutos cómo se registra un visitante. Sin instalar nada y sin compromiso.
