Vivimos en un entorno laboral y profesional en el que cada vez existe una mayor conciencia sobre la importancia de detectar y prevenir conductas irregulares. Fraude, corrupción, acoso, conflictos de interés, incumplimientos normativos o vulneraciones de derechos pueden producirse en cualquier organización, y disponer de mecanismos seguros para comunicar estas situaciones se ha convertido en una pieza fundamental de las políticas de cumplimiento.
Sin embargo, tener un canal de denuncias no es suficiente. Para que realmente funcione, las personas deben confiar en él.
Una de las principales barreras a la hora de comunicar una irregularidad es el miedo a las consecuencias. Muchas personas pueden preguntarse qué ocurrirá con sus datos, quién tendrá acceso a la información, si la persona denunciada conocerá su identidad o si la comunicación podría afectar a su puesto de trabajo o a su relación profesional.
¿Qué es un canal de denuncias?
El canal de denuncias, denominado en la normativa canal interno de información, es una herramienta que permite a las personas comunicar posibles infracciones o irregularidades dentro de una organización.
Su finalidad no debería ser únicamente recibir denuncias. Un sistema correctamente diseñado debe permitir también gestionar las comunicaciones, analizarlas, investigarlas cuando corresponda y adoptar las medidas necesarias.
La Ley 2/2023 integra el canal dentro de un concepto más amplio: el Sistema interno de información, que incluye el propio canal, el procedimiento de gestión y la persona responsable de su correcto funcionamiento.
Estos sistemas pueden permitir comunicaciones por escrito o verbalmente y, a solicitud de la persona informante, también mediante una reunión presencial. Además, la normativa española establece expresamente que los canales internos deben permitir la presentación y posterior tramitación de comunicaciones anónimas.
Entre las situaciones que pueden llegar a comunicarse a través de estos sistemas se encuentran determinadas infracciones penales o administrativas graves o muy graves, así como otros incumplimientos incluidos dentro del ámbito de aplicación de la normativa.
Por tanto, el canal de denuncias debe entenderse como una herramienta de prevención, detección y protección, y no simplemente como un buzón donde depositar una queja.
Anonimato y confidencialidad: no son lo mismo
Aunque a menudo se utilizan como sinónimos, anonimato y confidencialidad son conceptos diferentes.
Una comunicación anónima es aquella en la que la organización no conoce la identidad de la persona que informa. La persona puede comunicar los hechos sin proporcionar sus datos identificativos.
En cambio, una comunicación confidencial puede identificar a la persona informante, pero su identidad debe quedar protegida y no puede ser conocida ni comunicada libremente a otras personas.
Una persona puede decidir identificarse porque quiere mantener una comunicación directa durante la investigación, aportar documentación adicional o recibir información sobre la evolución del procedimiento. En ese caso, la organización debe garantizar que su identidad permanezca protegida.
La Ley 2/2023 establece que la identidad de la persona informante debe mantenerse confidencial y limita su comunicación a determinados supuestos legalmente previstos, como los requerimientos de la autoridad judicial, del Ministerio Fiscal o de la autoridad administrativa competente, siempre con las garantías correspondientes.
Por ello, un canal seguro debe ofrecer garantías tanto para quienes prefieren informar de manera anónima como para quienes deciden identificarse.
¿Por qué es tan importante proteger la identidad?
Informar sobre una conducta irregular no siempre resulta
fácil.
En determinados contextos, la persona informante puede tener
una relación laboral o profesional de dependencia respecto de la organización,
de sus responsables o incluso de las personas sobre las que comunica los
hechos.
El temor a sufrir represalias puede convertirse, por tanto, en un importante obstáculo para utilizar el canal.
Las represalias pueden adoptar formas muy diferentes: cambios injustificados en las condiciones de trabajo, trato desfavorable, aislamiento, amenazas, despido, pérdida de oportunidades profesionales u otras actuaciones perjudiciales relacionadas con la comunicación.
Precisamente por eso, la protección de la persona informante constituye uno de los pilares de la Ley 2/2023.
La propia normativa considera que preservar la identidad de quien informa es una de las premisas esenciales para que el sistema de protección sea efectivo.
Un canal que no genera confianza difícilmente cumplirá su función.
Cómo asegurar la confidencialidad de un canal de denuncias
Garantizar la confidencialidad no consiste simplemente en añadir una frase en la política de privacidad. Requiere adoptar medidas organizativas, jurídicas y técnicas que protejan la información durante todo su ciclo de vida.
1. Limitar el acceso a la información
No todas las personas de una organización deben tener acceso a las comunicaciones recibidas.
El acceso debe estar restringido a quienes tengan funciones específicas relacionadas con la recepción, gestión, investigación o seguimiento de las informaciones.
La Agencia Española de Protección de Datos señala que el acceso a la información debe limitarse a las personas que desarrollen funciones de control interno y cumplimiento o a quienes hayan sido designados para gestionar el sistema, permitiéndose otros accesos únicamente cuando exista una justificación legal.
2. Utilizar herramientas seguras
El canal debe disponer de medidas técnicas adecuadas para impedir accesos no autorizados.
Esto implica, entre otras cuestiones, proteger las comunicaciones, controlar los permisos de acceso, mantener registros de actividad y aplicar medidas de seguridad sobre los sistemas utilizados para almacenar y gestionar la información.
También resulta recomendable evitar que las comunicaciones se gestionen mediante herramientas ordinarias que permitan que el contenido quede accesible para personas que no participan en la investigación.
3. Separar la identidad del contenido de la comunicación
Cuando sea técnicamente posible, resulta recomendable diseñar mecanismos que permitan gestionar la información sin exponer innecesariamente la identidad de quien informa.
Una buena solución debe permitir que la persona responsable de la investigación conozca únicamente los datos que necesita para desarrollar sus funciones.
En el caso de las comunicaciones anónimas, además, el sistema debe evitar mecanismos que permitan identificar indirectamente a la persona informante.
El anonimato no debería ser únicamente una opción teórica: debe estar respaldado por el propio diseño del sistema.
4. Formar a las personas responsables
La tecnología no puede solucionar por sí sola un problema de confidencialidad.
Las personas que gestionan el canal deben conocer sus obligaciones y recibir formación específica sobre protección de datos, confidencialidad, gestión de comunicaciones y prevención de represalias.
Además, si una comunicación llega accidentalmente a una persona que no es responsable del canal, esta debe saber cómo actuar y evitar cualquier conducta que pueda revelar la identidad de quien informa.
La normativa establece precisamente la obligación de preservar la confidencialidad cuando una comunicación es recibida por personal que no sea el responsable de su tratamiento.
La importancia de informar antes de utilizar el canal
Para que una persona pueda confiar en un canal de denuncias necesita saber cómo funciona.
La organización debe explicar de forma clara y accesible cuestiones como:
- Quién puede utilizar el canal.
- Qué tipo de conductas pueden comunicarse.
- Quién gestiona las informaciones.
- Si se admiten comunicaciones anónimas.
- Cómo se protege la identidad de la persona informante.
- Qué medidas existen frente a posibles represalias.
- Cómo se tratarán los datos personales.
- Qué canales externos existen.
- Cómo se desarrollará el procedimiento de gestión.
La Ley 2/2023 exige que la información sobre los canales internos y sus principios esenciales sea clara y fácilmente accesible.
La transparencia sobre el funcionamiento del sistema es, paradójicamente, una de las mejores herramientas para generar confianza.
Protección de datos y conservación de la información
Las comunicaciones recibidas a través de un canal de
denuncias pueden contener información especialmente sensible sobre diferentes
personas: quien informa, la persona afectada, testigos u otras personas
relacionadas con los hechos.
Por ello, la organización debe aplicar los principios de protección de datos y evitar recopilar información que no sea necesaria.
La conservación tampoco puede ser indefinida. Los datos personales relacionados con las informaciones y las investigaciones deben conservarse durante el tiempo necesario y proporcionado para cumplir con la finalidad del sistema y con las obligaciones legales aplicables. La Ley 2/2023 establece además reglas específicas sobre el registro y conservación de las informaciones.
La AEPD también ha establecido, en su propio procedimiento de gestión, criterios específicos de minimización y conservación, incluyendo la supresión de determinadas comunicaciones cuando no se hayan iniciado actuaciones de investigación en el plazo previsto.
Por tanto, proteger la confidencialidad también significa no conservar más información de la necesaria durante más tiempo del necesario.
¿Puede un canal de denuncias ser gestionado por una empresa externa?
Sí. La gestión del sistema puede encomendarse a un tercero, pero externalizar el canal no significa externalizar la responsabilidad sobre sus garantías.
La Ley 2/2023 contempla la gestión del Sistema interno de información por un tercero externo siempre que este ofrezca garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones. Además, la externalización no puede suponer un menoscabo de las garantías exigidas por la ley.
Por eso, antes de contratar una solución tecnológica o un proveedor externo, es importante comprobar qué medidas de seguridad aplica, quién puede acceder a la información, dónde se almacenan los datos, cómo se gestionan los permisos y qué procedimiento existe ante posibles incidentes de seguridad.
Anonimato no significa ausencia de responsabilidad
La posibilidad de informar anónimamente es una garantía de protección, pero no significa que cualquier comunicación quede automáticamente validada.
Las informaciones deben ser analizadas y gestionadas de acuerdo con el procedimiento establecido. También deben respetarse los derechos de las personas afectadas, incluida la presunción de inocencia y el derecho de defensa.
La propia Ley 2/2023 establece garantías para las personas afectadas por una comunicación, preservando también la confidencialidad de los hechos y de los datos del procedimiento.
Un sistema eficaz, por tanto, debe proteger simultáneamente a quien informa y a quien es objeto de la información.
Un canal seguro es un canal en el que las personas confían
Crear un canal de denuncias no debería plantearse únicamente como una obligación legal o como un elemento más de un programa de compliance.
Su verdadero valor aparece cuando las personas saben que pueden utilizarlo sin miedo y que la organización va a gestionar la información de forma responsable.
Para conseguirlo, es necesario combinar anonimato, confidencialidad, seguridad, protección de datos, independencia, formación y procedimientos claros.
La confidencialidad no empieza cuando se recibe una denuncia. Empieza en el propio diseño del sistema y continúa durante la recepción, investigación, almacenamiento y eliminación de la información.
También es fundamental recordar que un canal de denuncias no debe convertirse en una herramienta de vigilancia indiscriminada. Su objetivo es facilitar la comunicación segura de determinadas irregularidades y contribuir a que las organizaciones puedan detectarlas, investigarlas y corregirlas.
En definitiva, proteger a quien informa es una forma de proteger también a la organización.
Un sistema que garantiza el anonimato cuando procede, mantiene la identidad bajo estricta confidencialidad, limita los accesos, protege los datos y establece medidas frente a las represalias genera un entorno en el que comunicar una irregularidad deja de ser un acto de riesgo para convertirse en un mecanismo de prevención y mejora.
La confianza es, en última instancia, la pieza que hace funcionar cualquier canal de denuncias.
Un canal seguro no es simplemente aquel que permite denunciar. Es aquel que permite informar con la certeza de que la identidad, la información y los derechos de todas las personas implicadas serán tratados con las máximas garantías.
