Elegir una buena herramienta o un buen sistema para cumplir con la leyde protección al informante es fundamental. Una plataforma inadecuada puede comprometer la confidencialidad, dificultar la investigación, generar errores de plazo y dejar a la empresa con una falsa sensación de cumplimiento. La Ley 2/2023 no obliga a usar una solución concreta ni tecnológica, ni exige que el canal sea necesariamente una plataforma SaaS, pero sí impone requisitos funcionales y organizativos muy claros.
Por eso, cuando una empresa se pregunta cómo elegir una plataforma de canal de denuncias, la pregunta correcta no es cuál tiene más funcionalidades, sino cuál permite cumplir con la ley sin generar fricciones operativas.
Debemos tener en cuenta que la plataforma elegida debe ser accesible para todos los colectivos que en la ley se indican, así como que sea practica y intuitiva para evitar errores.
La base legal: qué debe permitir la plataforma
El punto de partida está en los artículos 5, 7 y 9 de la Ley 2/2023. El sistema interno de información debe estar diseñado y gestionado de forma segura, de modo que garantice la confidencialidad de la identidad del informante, si éste así lo desea y de cualquier tercero mencionado, así como la protección de los datos, impidiendo el acceso de personal no autorizado.
La ley añade expresamente que los canales internos deben permitir la presentación y posterior tramitación de comunicaciones anónimas, y que el procedimiento debe contemplar un acuse de recibo en siete días y una respuesta a las actuaciones de investigación en un plazo máximo de tres meses, ampliable hasta otros tres en supuestos de especial complejidad. Y que el denunciante pueda acceder a las comunicaciones que se realicen sobre la denuncia, aunque ésta sea anónima.
Traducido a lenguaje de compra tecnológica, esto significa que una plataforma adecuada tiene que facilitar, como mínimo, recepción multicanal, anonimato real, trazabilidad temporal, control de accesos, comunicación segura con la persona informante y soporte documental suficiente para que la organización pueda respetar sus propios plazos.
Qué criterios conviene revisar antes de decidir una plataforma para el canal de denuncias
El primer criterio es la confidencialidad por diseño. La plataforma debe limitar accesos por rol, registrar quién entra, qué consulta y qué modifica, y evitar que la información circule fuera del entorno controlado. La AEPD, al describir sus propios principios de funcionamiento, subraya la exhaustividad, integridad y confidencialidad de la información, la prohibición del acceso no autorizado y el almacenamiento duradero. Eso convierte el control de accesos y la trazabilidad en requisitos de primer nivel, no en extras técnicos.
El segundo criterio es la capacidad de gestionar el anonimato sin bloquear la investigación. La ley exige admitir y tramitar comunicaciones anónimas. Por tanto, una plataforma débil en este punto —por ejemplo, porque no permite mantener diálogo posterior con el informante sin desvelar identidad— obliga a la empresa a trabajar con mucha menos eficacia. En la práctica, interesa que exista un buzón seguro bidireccional, no solo un formulario ciego de entrada.
El tercer criterio es la gestión del flujo operativo. La plataforma debería facilitar clasificación inicial, asignación al responsable o al equipo autorizado, control de plazos, documentación de actuaciones y archivo ordenado. La ley exige un procedimiento de gestión diligente y la AEPD describe expresamente la necesidad de una plataforma cuya finalidad sea la llevanza, registro y conservación de las actuaciones derivadas de la presentación de información.
Qué señales suelen indicar que una plataforma no conviene
Hay varios signos de alerta.
- El primero aparece cuando la herramienta se vende como “canal de denuncias” pero en realidad es un simple formulario web con reenvío por correo.
- El segundo, cuando no incorpora comunicación segura con el informante ni gestión clara de anonimato.
- El tercero, cuando no deja evidencia suficiente de fechas, actuaciones, responsables y cambios de estado.
- El cuarto, cuando la documentación y el soporte contractual del proveedor no explican bien dónde se alojan los datos, quién accede a ellos y qué ocurre en caso de incidente de seguridad.
- Y el quinto, cuando la plataforma obliga a que demasiadas personas tengan visibilidad sobre la información, porque eso choca frontalmente con la lógica de acceso restringido que impone la ley.
El papel del RGPD en la elección de un canal de denuncias
La elección de plataforma no puede hacerse solo desde compliance penal o laboral. También tiene una capa fuerte de protección de datos. La Ley 2/2023 atribuye al órgano de administración u órgano de gobierno la responsabilidad sobre la implantación del sistema y le otorga la condición de responsable del tratamiento de los datos personales. Además, si la gestión se externaliza, el tercero externo tendrá, con carácter general, la consideración de encargado del tratamiento y el tratamiento deberá articularse conforme al contrato del artículo 28.3 RGPD, sin perjuicio de los supuestos en que exista corresponsabilidad y haya que suscribir el acuerdo del artículo 26 RGPD.
Por eso, una buena due diligence de proveedor debería revisar el contrato, la localización de datos, las medidas de seguridad, la gestión de subencargados, la política de borrado, los mecanismos de exportación de expedientes y la respuesta ante incidentes. La plataforma adecuada no es solo la que “funciona”, sino la que puede defenderse documentalmente si mañana hay una reclamación o una inspección.
Checklist para elegir un canal de denuncias
Antes de elegir, conviene comprobar al menos lo siguiente:
- Si permite comunicaciones escritas o verbales con aportación de documentación
- Si permite acuse de recibo y seguimiento de plazos
- Si incorpora buzón seguro para intercambiar información con el informante
- Si limita accesos y deja trazabilidad completa
- Si permite clasificación, asignación, archivo y exportación de expedientes
- Si el proveedor ofrece contrato de encargo, seguridad y soporte suficientes
- Si la herramienta encaja con el procedimiento interno y con el responsable del sistema.
Conclusión
Elegir una plataforma de canal de denuncias no es una decisión puramente tecnológica. Es una decisión de diseño de cumplimiento. La empresa necesita una herramienta que permita recibir, investigar, documentar y cerrar comunicaciones con confidencialidad, anonimato, trazabilidad y control de plazos.
Preguntas frecuentes sobre cómo elegir una plataforma de canal de denuncias
¿La ley obliga a usar una plataforma específica?
No. La Ley 2/2023 no impone un tipo concreto de herramienta, pero sí exige que el sistema sea seguro, confidencial, accesible y apto para gestionar las comunicaciones conforme al procedimiento legal.
¿Un formulario web simple puede ser suficiente?
Depende de cómo esté integrado en el sistema, pero por sí solo suele ser insuficiente si no permite anonimato real, trazabilidad, control de accesos y gestión del expediente. Esta es una inferencia práctica a partir de los requisitos legales del sistema y del canal.
¿Es obligatorio admitir denuncias anónimas?
Sí. La ley establece que los canales internos permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas.
¿Qué plazos debe soportar la herramienta?
Debería permitir, al menos, documentar el acuse de recibo en siete días y el seguimiento del plazo máximo de respuesta de tres meses, ampliable otros tres en casos complejos.
¿Qué peso tiene la protección de datos al elegir proveedor?
Mucho. El órgano de administración es responsable del sistema y del tratamiento; además, el tercero externo suele actuar como encargado del tratamiento y debe ofrecer garantías suficientes en independencia, confidencialidad, protección de datos y secreto de las comunicaciones.
Artículo revisado por Gemma Fayos Casas, abogada especialista en Derecho Laboral
