En un contexto donde la transparencia y la ética organizativa son más exigidas que nunca, los canales internos de denuncia, conocidos como whistleblowing se han convertido en una herramienta clave para prevenir y detectar conductas irregulares en empresas y administraciones.
¿Qué es el canal de whistleblowing?
«Whistleblowing» es un término anglosajón que hace referencia a la comunicación confidencial de una infracción normativa o conducta irregular, detectada dentro de una organización, por parte de una persona vinculada a ella: trabajador, proveedor, autónomo colaborador, etc.
Con la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, se establece la obligación de implantar canales internos de denuncia en muchas entidades del sector público y privado. Esta ley transpone la Directiva (UE) 2019/1937, y tiene como objetivo fortalecer la cultura del cumplimiento y la integridad.
Pero cuidado: implantar un canal de denuncias no es solo un trámite de cumplimiento normativo. Supone tratar datos personales, muchas veces sensibles o confidenciales y, por tanto, exige cumplir con el RGPD y la LOPDGDD.
Obligaciones clave en materia de protección de datos
1. Base jurídica del tratamiento
No se requiere consentimiento ni del denunciante ni del denunciado. La base jurídica suele estar en:
- El cumplimiento de una obligación legal (art. 6.1.c RGPD).
- El interés público en la lucha contra la corrupción (art. 6.1.e RGPD).
2. Evaluación de Impacto (EIPD)
Obligatoria cuando:
- Se tratan categorías especiales de datos (ideología, salud, infracciones penales…).
- Existen mecanismos automatizados o monitorización sistemática.
Una EIPD permite identificar riesgos y establecer medidas preventivas adecuadas.
3. Conservación limitada
La Ley 2/2023 fija un plazo muy concreto:
- Los datos deben suprimirse a los tres meses, salvo que se inicie una investigación.
- Conservar datos más allá sin justificación es una infracción del principio de limitación del plazo de conservación.
4. Garantías para el denunciado
Derecho de información diferida, para no frustrar la investigación.
Derecho de acceso, limitado para no revelar la identidad del denunciante.
Prohibición de usar la información con fines distintos (art. 5.1.b RGPD).
5. Encargado del tratamiento y confidencialidad
Si el canal es gestionado por un proveedor, debe firmarse un contrato del art. 28 RGPD.
Deben aplicarse medidas técnicas y organizativas que garanticen:
- Cifrado de datos.
- Control de accesos.
- Preservación de la identidad del informante.
- El anonimato no es obligatorio, pero sí recomendable y compatible con la ley.
Recomendaciones prácticas para implantar un canal eficaz y legal
- Documenta una política de funcionamiento del canal, clara y accesible.
- Implanta herramientas seguras, que permitan:
- Recepción cifrada de denuncias.
- Acceso restringido a personal autorizado.
- Opciones de denuncia anónima.
- Revisa el contrato con el proveedor externo (si lo hay), asegurándote de que actúe como encargado del tratamiento y cumpla con el RGPD.
- Forma al personal y prevé medidas contra represalias, especialmente a nivel laboral.
La protección de datos no es un freno, sino una garantía de legitimidad para los canales internos de denuncia. Cumplir con la Ley 2/2023 exige hacerlo en coordinación con el RGPD y la LOPDGDD, especialmente si queremos generar confianza en quienes denuncian y evitar conflictos jurídicos.
Un canal de whistleblowing mal implantado no solo incumple la ley: puede acarrear sanciones de la AEPD, demandas laborales o daños reputacionales difíciles de reparar.
En tiempos donde se exige más ética y responsabilidad, la privacidad no puede ser una víctima colateral.