Imagen generada con IA.
Desde 2023 las empresas de cierto tamaño están obligadas a tener un canal de denuncias interno. Lo que muchas organizaciones no han terminado de interiorizar es que ese canal no es solo una herramienta de compliance: es, ante todo, un sistema que trata datos personales especialmente sensibles —identidad del denunciante, del denunciado, hechos que pueden implicar a terceros— y que, si se diseña mal, puede acabar exponiendo justo a la persona que la ley pretende proteger.
El RGPD y la normativa española sobre protección del informante no son dos regímenes paralelos: se cruzan constantemente, y ese cruce es el que determina si un canal de denuncias es realmente seguro o solo lo parece.
La Ley 2/2023 de protección al informante y su cruce con el RGPD
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, traspone la Directiva (UE) 2019/1937 y obliga a empresas de 50 o más trabajadores, entidades del sector público y otras entidades obligadas a disponer de un canal de denuncias o «sistema interno de información».
La propia ley remite expresamente al RGPD para todo lo relativo al tratamiento de los datos personales que se generan al gestionar una denuncia. Esto significa que no basta con contratar una plataforma de canal ético y darla de alta: hay que aplicar sobre ella todo el aparato de garantías del RGPD, desde la base jurídica del tratamiento hasta la evaluación de impacto cuando proceda, pasando por la designación de un responsable del sistema con garantías de independencia.
Qué datos puede tratar el canal y durante cuánto tiempo
El canal de denuncias solo puede tratar los datos estrictamente necesarios para verificar la veracidad de los hechos denunciados e investigarlos: identidad de denunciante y denunciado (salvo denuncias anónimas, que la ley también ampara), descripción de los hechos, y la documentación aportada como prueba. No es un cajón de sastre para cualquier información laboral.
En cuanto a la conservación, la ley marca dos plazos que conviene no confundir:
- Los datos deben conservarse en el sistema solo el tiempo necesario para decidir sobre la procedencia de iniciar una investigación, con un límite orientativo de tres meses desde la recepción de la denuncia.
- Si se abre expediente, los datos pasan a tratarse conforme a las reglas generales de conservación de la investigación, pero deben bloquearse o eliminarse del canal propiamente dicho una vez concluida esa fase, salvo que existan diligencias judiciales o procedimientos administrativos o penales en curso, en cuyo caso se conservan mientras estos sigan abiertos.
Mantener denuncias «por si acaso» durante años, sin revisión periódica, es uno de los incumplimientos más frecuentes que detectamos al auditar estos sistemas.
Cómo garantizar la confidencialidad (y el anonimato) del denunciante
La confidencialidad de la identidad del informante no es una recomendación de buenas prácticas: es un mandato legal expreso, reforzado por la prohibición de represalias. En términos de protección de datos, esto se traduce en medidas muy concretas:
- Restringir el acceso a la identidad del denunciante a las personas estrictamente necesarias para tramitar la denuncia, nunca a toda la plantilla de RRHH o de compliance por defecto.
- Separar técnicamente los datos identificativos del contenido de la denuncia cuando sea posible, de modo que quien analiza los hechos no necesite ver siempre quién los ha comunicado.
- Cifrar las comunicaciones y el almacenamiento del canal, especialmente si se gestiona con una herramienta externalizada.
- Documentar quién ha accedido a cada expediente y cuándo, porque esa trazabilidad es la que permite demostrar, ante una inspección o una reclamación, que la confidencialidad se ha respetado.
Errores que exponen sin querer la identidad del denunciante
La mayoría de las brechas de confidencialidad en canales de denuncia no son maliciosas, sino consecuencia de un diseño descuidado:
- Gestionar las denuncias por correo electrónico corporativo compartido, visible para varias personas del departamento.
- Convocar reuniones para «comentar el caso» en las que se menciona el nombre del denunciante sin necesidad real de hacerlo.
- Redactar el informe final de investigación con detalles tan específicos (turno, departamento, fecha exacta de un comentario) que, aunque no se cite el nombre, cualquiera del equipo puede deducir quién denunció.
- No revisar los permisos de acceso a la plataforma del canal cuando cambia de responsable o de proveedor, dejando accesos activos de personas que ya no deberían tenerlos.
Checklist para implantar un canal de denuncias conforme al RGPD
- Designar un responsable del sistema de información con garantías reales de independencia respecto a la dirección investigada.
- Redactar y publicar la información sobre tratamiento de datos (artículo 13 RGPD) específica del canal, no reutilizar la política de privacidad general de la empresa.
- Valorar si procede una evaluación de impacto relativa a la protección de datos antes de poner en marcha el canal.
- Fijar por escrito los plazos de conservación y un procedimiento de revisión y purga periódica.
- Limitar los accesos por rol, no por departamento completo, y registrar cada acceso.
- Formar a quienes gestionan denuncias en confidencialidad, antes de darles acceso al sistema, no después de un incidente.
En resumen: un canal de denuncias bien diseñado protege a la organización frente a infracciones internas y, al mismo tiempo, protege al informante frente a la propia organización. Cuando el diseño es descuidado, el canal deja de cumplir su función legal —y puede convertirse en el origen de una vulneración de datos personales especialmente grave, precisamente sobre la persona que más protección necesitaba.
Si tu empresa está implantando o revisando su canal de denuncias, en Dataibérica podemos auditar su diseño y su conformidad con el RGPD antes de que un incidente ponga en cuestión la confidencialidad del sistema.
Fuente principal: elDerecho.com — «La protección de datos en las relaciones laborales».
