Canal de denuncias: ¿quién está obligado y desde cuándo?
Contar con un canal interno que sea realmente anónimo y confidencial no es una cuestión “de forma”, sino de funcionamiento. Si el sistema no protege la identidad, si no garantiza el secreto o si no permite investigar con trazabilidad, termina siendo inútil: no se utiliza, genera desconfianza y, además, expone a la organización a incumplimientos.
En Beta Legal somos expertos en cumplimiento normativo y en la implantación y gestión del Canal de denuncias. Ayudamos a empresas a implantar sistemas operativos y defendibles: procedimiento, roles, plataforma, protección de datos, evidencias y soporte en la gestión de comunicaciones.
Qué significa, en la práctica, “anónimo” y “confidencial”
Aunque suelen mencionarse juntos, no son lo mismo:
- Anonimato: la persona informante puede presentar la comunicación sin revelar su identidad. La ley permite y exige que el canal interno admita la presentación y tramitación de comunicaciones anónimas.
- Confidencialidad: incluso cuando el informante se identifique, la organización debe preservar la identidad y limitar el acceso a quienes gestionan el sistema, evitando filtraciones. La vulneración de estas garantías y del deber de secreto está tipificada como infracción.
En consecuencia, un canal “anónimo y confidencial” es aquel que protege la identidad por diseño, controla accesos y documenta el proceso sin exponer a informante ni a personas afectadas.
Requisitos funcionales mínimos del canal
1) Canales de entrada: escrito, verbal y reunión en 7 días
El sistema debe permitir comunicaciones por escrito o verbalmente, o de ambas formas. Además, la información puede presentarse por correo postal, medios electrónicos, teléfono o mensajería de voz. Si el informante lo solicita, debe poder realizarse una reunión presencial en un máximo de siete días.
Puntos prácticos:
- Si se habilita un canal verbal, debe existir un método fiable para registrar la conversación (grabación o transcripción) e informar del tratamiento de datos cuando proceda.
- Debe existir una vía clara “oficial” para evitar que las denuncias acaben en buzones personales o canales informales.
2) Anonimato real (no solo “de palabra”)
No basta con prometer anonimato: hay que habilitarlo. El canal interno debe permitir la presentación y tramitación de comunicaciones anónimas.
En la práctica, el anonimato real exige:
- Protocolos para no “re-identificar” por vías indirectas (estilo de redacción, datos de contexto, accesos internos).
- Plataforma o mecanismo que no capture datos innecesarios (por ejemplo, metadatos evitables).
- Posibilidad de comunicación bidireccional anónima (para pedir aclaraciones sin obligar a identificarse).
3) Comunicación con el informante (y gestión de plazos)
El procedimiento debe prever:
- Respuesta sobre las actuaciones de investigación en un plazo máximo de 3 meses, ampliable hasta otros 3 meses en casos de especial complejidad.
- Posibilidad de mantener comunicación con el informante y solicitar información adicional si es necesario.
Esto es clave porque un canal que no responde termina siendo percibido como “un buzón sin salida”.
Requisitos de confidencialidad y secreto
4) Acceso restringido y “necesidad de conocer”
La confidencialidad no se cumple con una cláusula: se cumple con controles de acceso. La referencia práctica es clara: el sistema debe impedir el acceso no autorizado y preservar identidad y datos de personas afectadas y terceros mencionados.
Buenas prácticas habituales:
- Accesos por roles (solo quienes gestionan el sistema).
- Registro de accesos (logs) y auditoría.
- Cifrado y almacenamiento seguro.
- Prohibición interna de descargar o reenviar comunicaciones por canales no controlados.
5) Gestión de comunicaciones “fuera de canal”
La ley exige que exista una garantía específica cuando la comunicación llegue por vías distintas a las establecidas (por ejemplo, a un mando o a un correo no habilitado): debe garantizarse la confidencialidad, formar al personal y remitir de inmediato la comunicación al Responsable del Sistema.
Esto se traduce en dos medidas operativas:
- Formación mínima a managers y RR. HH. sobre qué hacer si reciben una comunicación.
- Procedimiento interno para derivación inmediata y trazable.
Requisitos organizativos: Responsable del Sistema y, si procede, tercero externo
6) Responsable del Sistema: independencia y recursos
Debe designarse un Responsable del Sistema, por el órgano de administración u órgano de gobierno. Además:
- Debe actuar de forma independiente y autónoma, sin recibir instrucciones.
- Debe disponer de medios personales y materiales suficientes.
Esta independencia es esencial para que el canal sea creíble y para proteger la investigación de presiones internas.
7) Externalización: cuándo tiene sentido y qué debe garantizar
La gestión del sistema puede hacerse internamente o mediante tercero externo, dejando la investigación inicial siempre a cargo del usuario responsable del canal que esté registrado. Si se externaliza, el tercero debe ofrecer garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones, y su papel encaja, en general, como encargado del tratamiento en términos de RGPD.
En la práctica, externalizar suele ser recomendable cuando:
- No hay estructura interna para gestionar con neutralidad.
- Se busca reforzar el anonimato y confianza.
- Se necesita disponibilidad y metodología (plazos, evidencias, informes).
Registro y conservación: evidencia sin exposición
8) Libro-registro de informaciones e investigaciones
La organización debe contar con un libro-registro de informaciones recibidas y de las investigaciones internas a las que hayan dado lugar, garantizando la confidencialidad.
Este registro no es para “acumular datos”, sino para demostrar que el sistema funciona: fechas, estado, medidas, cierre y trazabilidad.
9) Retención: regla de los 3 meses y anonimización si no se investiga
En materia de datos, la lógica es minimización y plazos:
- No deben tratarse datos personales innecesarios; si se reciben, se suprimen.
- Transcurridos tres meses desde la recepción sin iniciar investigación, debe procederse a la supresión, salvo que se conserve para dejar evidencia del funcionamiento del sistema; y, si no se dio curso, solo podrá constar de forma anonimizada.
Protección de datos: lo que más falla en auditorías
Un canal bien diseñado debe integrar RGPD desde el inicio. En particular:
- Los tratamientos derivados del sistema se rigen por RGPD y LOPDGDD.
- Debe preservarse la identidad del informante y limitarse su comunicación a autoridades competentes en los supuestos previstos.
- Si entran categorías especiales de datos, debe aplicarse el criterio de supresión inmediata, salvo supuestos excepcionales de interés público esencial previstos por la norma.
Operativamente, esto se traduce en:
- Información clara (capas) sobre tratamiento de datos en el propio canal.
- Control de encargados y subencargados (proveedores de plataforma).
- Política de accesos y confidencialidad firmada por quienes gestionan el canal.
- Procedimiento para ejercicio de derechos, compatible con la investigación y la reserva.
Errores frecuentes que “rompen” el anonimato o la confidencialidad
- Implementar un simple buzón sin procedimiento, plazos ni responsable.
- Permitir que demasiadas personas accedan al contenido “por si acaso”.
- No bloquear metadatos ni documentar medidas de anonimización.
- Gestionar denuncias por correo personal o WhatsApp interno (y luego intentar “regularizar”).
- No formar a mandos: la denuncia llega fuera de canal y se filtra.
- Conservar datos indefinidamente o sin anonimizar comunicaciones archivadas.
Preguntas frecuentes
¿Un canal de denuncias puede ser anónimo?
Sí. El canal interno debe permitir incluso la presentación y posterior tramitación de comunicaciones anónimas.
¿Qué plazos debe cumplir la gestión de una denuncia interna?
El procedimiento debe contemplar acuse de recibo en 7 días naturales y dar respuesta en un máximo de 3 meses, ampliable en casos complejos.
¿Qué medios debe ofrecer el canal (correo, teléfono, plataforma)?
Debe permitir comunicaciones por escrito o verbalmente: correo postal, medios electrónicos, teléfono o mensajería de voz. Además, si se solicita, reunión presencial en un máximo de 7 días.
¿Es obligatorio nombrar un Responsable del Sistema?
Sí, debe existir un Responsable del Sistema designado por el órgano de administración u órgano de gobierno, con independencia y medios suficientes y que se registre en la Autoridad Independiente de Protección al Informante
¿Se puede externalizar la gestión del canal?
Sí, puede gestionarse internamente o mediante un tercero externo, siempre que se garanticen independencia, confidencialidad, protección de datos y secreto de las comunicaciones, con el encaje contractual correspondiente.Siempre que la investigación inicial se a cargo del usuario responsable del canal.
¿Cuánto tiempo pueden conservarse los datos de una denuncia?
Deben conservarse únicamente el tiempo imprescindible. Si en tres meses no se inicia investigación, debe suprimirse, salvo conservación para evidenciar funcionamiento; y, si no se dio curso, solo puede constar anonimizada.
Artículo revisado por Gemma Fayos, Abogada Laboralista y especialista en Planes de Igualdad y Registro Salarial y Auditoría retributiva.
