Un canal ético no sirve de mucho si las personas no confían en él. La protección del informante no depende únicamente de ofrecer un formulario anónimo. También exige limitar quién puede acceder a la información, investigar con imparcialidad, evitar conflictos de interés y prevenir cualquier represalia directa o indirecta.
La Ley 2/2023 ha situado los sistemas internos de información en el centro de la cultura de cumplimiento de muchas organizaciones. Sin embargo, implantar una plataforma no basta. El verdadero reto es diseñar un canal ético anónimo capaz de proteger la identidad y los derechos de todas las personas implicadas durante todo el proceso, desde la recepción hasta el cierre y el seguimiento de posibles represalias.
¿Qué es un canal ético anónimo?
Un canal ético es un medio interno para comunicar infracciones, irregularidades o riesgos dentro de una organización. Puede incluir una plataforma web, teléfono, correo postal, reunión presencial u otros medios previstos en el procedimiento interno.
Cuando hablamos de canal ético anónimo nos referimos a un sistema que permite comunicar hechos sin revelar inicialmente la identidad del informante. Lo ideal es que, además, permita mantener una comunicación bidireccional mediante un código o buzón seguro, de forma que puedan solicitarse aclaraciones o documentos sin obligar a la persona a identificarse.
Anonimato y confidencialidad no son lo mismo
El anonimato significa que la identidad de la persona informante no se facilita. La confidencialidad significa que la identidad puede conocerse, pero queda reservada y solo acceden a ella las personas autorizadas.
Ambas garantías son importantes y pueden coexistir. Una comunicación identificada puede gestionarse de forma confidencial, mientras que una comunicación anónima debe evitar que la identidad pueda reconstruirse indirectamente a través de datos técnicos, documentos o prácticas internas.
La confidencialidad también debe alcanzar a las personas afectadas, testigos y actuaciones de investigación. No significa secreto absoluto frente a las autoridades competentes, sino acceso restringido, revelación controlada y trazabilidad.
Qué exige la Ley 2/2023
La Ley 2/2023 obliga a determinadas entidades públicas y privadas a disponer de un sistema interno de información. En el sector privado, el umbral general se sitúa en cincuenta personas trabajadoras, aunque existen otros supuestos por actividad o sector que deben comprobarse específicamente.
El texto completo puede consultarse en la Ley 2/2023 publicada en el BOE.
El órgano de administración o de gobierno debe aprobar el sistema y designar a un Responsable del Sistema con independencia, autonomía y medios suficientes. También debe existir un procedimiento que regule recepción, admisión, investigación, comunicación con el informante, conflictos de interés, plazos, archivo y medidas de protección.
Cómo proteger realmente al informante
Anonimato técnico
Un sistema puede presentarse como anónimo y, sin embargo, dejar rastros. Una dirección IP, los metadatos de un archivo, las cabeceras de correo, el horario de envío o un documento cuyo autor figure en sus propiedades pueden identificar indirectamente a la persona.
Por eso deben minimizarse registros técnicos, evitar cookies innecesarias, revisar metadatos y separar el canal de los sistemas ordinarios de la organización. La protección debe diseñarse desde el origen, no añadirse después.
Acceso restringido
El principio de necesidad de conocer debe aplicarse de forma estricta. No toda la dirección, recursos humanos o compliance necesita acceso automático a cada expediente. Las personas autorizadas deben estar claramente definidas y los accesos deben quedar registrados.
Son recomendables medidas como autenticación multifactor, cifrado, cuentas individuales y trazabilidad de consultas, descargas y exportaciones.
Conflictos de interés
El procedimiento debe prever qué ocurre cuando la comunicación afecta al Responsable del Sistema, a una persona de alta dirección o a quien normalmente investigaría el caso. Sin una regla de abstención y sustitución independiente, el sistema pierde credibilidad.
La independencia no es solo una cuestión formal. Debe existir una vía alternativa capaz de recibir y gestionar el expediente cuando las personas habituales estén afectadas.
Protección frente a represalias
La represalia no se limita al despido. También puede consistir en aislamiento, cambio perjudicial de funciones, bloqueo de una promoción, presión, acoso, deterioro reputacional o finalización de una relación comercial.
La organización debe mantener mecanismos para detectar y corregir estas conductas después de la comunicación. Cerrar una investigación no significa que haya terminado la obligación de proteger al informante.
Derechos de la persona afectada
Proteger al informante no significa eliminar los derechos de la persona investigada. Debe preservarse la presunción de inocencia, el derecho de defensa, el honor y la posibilidad de ser oída en el momento adecuado.
La persona afectada debe conocer los hechos u omisiones que se le atribuyen, pero no debe recibir la identidad del informante. La investigación debe buscar hechos, no confirmar una hipótesis previa, y debe diferenciar claramente evidencias, opiniones e inferencias.
Protección de datos en el canal ético
La gestión de comunicaciones implica tratamiento de datos personales. Cuando el sistema es obligatorio, la base jurídica principal suele ser el cumplimiento de una obligación legal. No es aconsejable utilizar el consentimiento como fundamento general del tratamiento.
Los formularios deben pedir solo la información necesaria. Los datos manifiestamente irrelevantes deben eliminarse y los expedientes deben conservarse únicamente durante el tiempo necesario para gestionar la comunicación y las posibles responsabilidades.
La identidad del informante debe preservarse y no comunicarse a la persona afectada. También deben limitarse destinatarios, controlar proveedores, regular encargos de tratamiento y gestionar correctamente los derechos de las personas.
En SIPY integramos este análisis dentro de nuestros servicios de protección de datos y cumplimiento, especialmente cuando el canal trata información laboral, disciplinaria, penal o categorías especiales.
Plazos y conservación de la información
La Ley 2/2023 establece reglas específicas de conservación dentro del propio sistema. Los datos deben permanecer en él solo durante el tiempo imprescindible para decidir si se inicia una investigación y, con carácter general, no más de tres meses.
Si la investigación continúa, el expediente puede trasladarse a un entorno separado y restringido, con un plazo de conservación justificado. Las comunicaciones que no se tramiten deben quedar, en su caso, únicamente de forma anonimizada.
Definir correctamente las fases evita que la plataforma se convierta en un archivo permanente de acusaciones, datos sensibles y documentos innecesarios.
Proveedor tecnológico y seguridad
Contratar una plataforma externa no elimina la responsabilidad de la organización. Deben revisarse el alojamiento de los datos, subencargados, accesos de soporte, copias de seguridad, cifrado, autenticación, gestión de incidentes y transferencias internacionales.
El contrato debe establecer instrucciones, confidencialidad, medidas de seguridad, asistencia, devolución y supresión. Si el proveedor utiliza los datos para finalidades propias, su papel debe analizarse específicamente.
También conviene comprobar que el canal permita mantener una comunicación segura con una persona anónima y que la propia arquitectura técnica no permita reconstruir su identidad.
¿Puede utilizarse inteligencia artificial?
La inteligencia artificial puede utilizarse como apoyo para ordenar documentos, detectar duplicidades o clasificar información, pero debe aplicarse con cautela. Resulta especialmente problemático utilizarla para puntuar la credibilidad del informante, inferir emociones o proponer culpabilidad.
La decisión de admitir una comunicación, investigar hechos o adoptar medidas disciplinarias no debería depender exclusivamente de una puntuación automatizada. Debe existir supervisión humana, trazabilidad, posibilidad de revisión y protección frente a sesgos.
Buenas prácticas para un canal ético anónimo
- Verificar si la entidad está obligada por la Ley 2/2023.
- Designar formalmente al Responsable del Sistema y sus suplencias.
- Aprobar política y procedimiento interno.
- Admitir comunicaciones anónimas y confidenciales.
- Permitir comunicación bidireccional mediante código seguro.
- Limitar accesos por rol y aplicar autenticación multifactor.
- Definir reglas de abstención ante conflictos de interés.
- Establecer un procedimiento claro contra represalias.
- Controlar plazos de acuse, investigación y cierre.
- Depurar datos irrelevantes y aplicar plazos de conservación.
- Regular correctamente a proveedores y subencargados.
- Formar a gestores, dirección y plantilla.
- Auditar periódicamente accesos, expedientes y supresiones.
Preguntas frecuentes
¿Es obligatorio admitir denuncias anónimas?
Sí, los sistemas internos comprendidos en el ámbito de la Ley 2/2023 deben permitir comunicaciones anónimas. También pueden admitir comunicaciones identificadas tratadas bajo estricta confidencialidad.
¿Puede investigarse una denuncia anónima?
Sí. Debe valorarse la concreción, verosimilitud y ámbito de los hechos sin exigir que la persona se identifique. La falta de identidad puede dificultar ciertas comprobaciones, pero no invalida por sí sola la comunicación.
¿Puede comunicarse al denunciado quién informó?
No. La identidad del informante debe quedar preservada. La persona afectada sí debe conocer los hechos que se le atribuyen y poder ejercer su defensa en el momento adecuado.
¿Cuánto tiempo pueden conservarse los datos?
Dentro del propio sistema, únicamente durante el tiempo imprescindible para decidir si procede investigar y, con carácter general, no más de tres meses. Si continúa la investigación, debe gestionarse en un entorno separado y con acceso restringido.
¿Quién debe gestionar el canal?
El Responsable del Sistema designado por el órgano competente debe ejercer sus funciones con independencia y autonomía. Puede existir apoyo externo, pero la organización mantiene sus responsabilidades.
Conclusión
Un canal ético anónimo no se mide por cuántas comunicaciones recibe, sino por su capacidad para gestionar información sin exponer a las personas, investigar con imparcialidad y actuar frente a posibles represalias. Para que un canal ético anónimo sea creíble, la protección debe mantenerse durante todo el procedimiento y no limitarse al momento de enviar la comunicación.
El anonimato es una garantía esencial, pero no suficiente. La protección completa exige confidencialidad, independencia, seguridad, control de accesos, plazos claros y una investigación respetuosa con los derechos de todas las partes.
Una buena prueba consiste en simular un caso difícil: una comunicación anónima contra una persona con poder dentro de la organización. Si no está claro quién recibe, quién se abstiene, quién investiga y cómo se protege al informante, el sistema todavía necesita mejoras.
#CanalÉtico #Informantes #Ley2_2023 #Compliance #ProtecciónDeDatos #RGPD #Anonimato #Confidencialidad #Integridad #sipylopd #SIPY
Información adicional
Este contenido tiene carácter exclusivamente informativo y general y no constituye asesoramiento jurídico, laboral, penal, técnico ni de protección de datos individualizado. La obligación de implantar un sistema interno de información y la forma de gestionar cada comunicación dependen del tipo de entidad, plantilla, sector, actividad, estructura, datos tratados y circunstancias concretas.
Si necesitas implantar, revisar o auditar un canal ético o sistema interno de información, puedes contactar con SIPY a través de nuestra página de contacto para analizar tu caso y adaptar el procedimiento, la plataforma y las garantías a tu organización.
