Canal de denuncias: qué empresas están obligadas y qué requisitos técnicos exige la ley
Un canal de denuncias no es un buzón de sugerencias. Repasamos los requisitos organizativos y técnicos que debe cumplir un sistema interno de información para funcionar correctamente.
Los canales internos de información (habitualmente conocidos como canales de denuncias) permiten que trabajadores, colaboradores u otras personas comuniquen posibles infracciones de forma segura. Bien diseñados, ayudan a detectar problemas a tiempo. Mal diseñados, pueden generar más riesgos de los que evitan.
Muchas empresas resuelven la obligación con un correo genérico o un formulario básico en la web. En la mayoría de los casos, eso no cumple los requisitos que se piden a un sistema interno de información.
¿Qué empresas pueden estar obligadas?
La obligación de disponer de un canal interno depende del tamaño y del sector. Suelen estar obligadas las organizaciones a partir de determinados umbrales de empleados y determinadas actividades específicas (por ejemplo, entidades sujetas a normativa financiera, de prevención de blanqueo o de contratación pública), con particularidades según el país.
Aunque una empresa no esté directamente obligada, disponer de un canal interno bien planteado puede ser útil como herramienta de gestión de riesgos y de cultura interna.
Confidencialidad y protección del informante
Uno de los pilares del sistema es la confidencialidad. La identidad del informante y de las personas mencionadas debe estar protegida, con accesos restringidos a las personas que gestionan el canal.
Además, quien comunica de buena fe debe estar protegido frente a represalias en el entorno laboral. Esto se traduce en medidas concretas: quién puede acceder a la información, cómo se documentan las decisiones y qué garantías se ofrecen al informante durante y después del proceso.
Comunicación anónima cuando corresponda
En muchos supuestos, el sistema debe permitir comunicaciones anónimas. Esto exige una solución técnica que no obligue a identificarse ni permita rastrear al informante contra su voluntad.
Un canal técnicamente serio permite mantener el contacto con el informante aunque no se conozca su identidad, para pedir aclaraciones o comunicarle el estado de la gestión.
Acuses de recibo, plazos y trazabilidad
El sistema debe confirmar la recepción de la comunicación en un plazo breve y gestionar el caso en plazos razonables. Esto implica un procedimiento interno documentado: quién recibe, quién investiga, quién decide y cómo se comunica el resultado.
La trazabilidad protege a la organización y al informante: permite demostrar que la comunicación se ha tratado con seriedad y evita conflictos posteriores sobre lo que se hizo y cuándo.
Protección de datos y conservación
El canal trata datos especialmente sensibles: identidad del informante, personas señaladas, hechos que pueden ser graves. Requiere una base clara para el tratamiento, información adecuada, controles de acceso reforzados y plazos de conservación definidos.
Los datos deben eliminarse cuando ya no son necesarios. Mantener información indefinidamente es tan problemático como no conservar nada.
Procedimiento interno y responsable del sistema
El canal se apoya en un procedimiento interno escrito y en una persona o comité responsable con independencia suficiente para gestionar los casos. No basta con la herramienta: sin procedimiento y sin responsable, el sistema no funciona.
El procedimiento debe describir cómo se recibe una comunicación, cómo se valora, quién investiga, cómo se cierran los casos y cómo se documentan las conclusiones.
Diferencia con un buzón de sugerencias
Un buzón de sugerencias sirve para propuestas de mejora y no requiere las garantías de un canal de denuncias. Utilizar uno como si fuera el otro suele acabar mal: comunicaciones sensibles se pierden entre sugerencias, o al revés, sugerencias inocentes se tratan con un procedimiento pensado para infracciones.
Preguntas frecuentes
¿Vale un correo electrónico como canal de denuncias?
Como regla, no. Un correo genérico no ofrece las garantías de confidencialidad, trazabilidad y anonimato que se piden a un sistema interno de información.
¿Puede gestionarlo el departamento de RRHH?
En algunos casos sí, en otros conviene que lo gestione una función independiente. La clave es garantizar independencia y evitar conflictos de interés.
¿Cuánto tiempo se conservan las comunicaciones?
El tiempo necesario para gestionar el caso y cumplir con las obligaciones legales aplicables. Después, la información debe eliminarse o anonimizarse.
¿Necesitas revisar este tema en tu empresa? Habla con Espai Lex.
Agenda una llamada breve con nuestro despacho y valoramos tu caso concreto.
Agendar una llamadaEste contenido tiene carácter informativo y no sustituye el asesoramiento jurídico personalizado. Las referencias normativas y las obligaciones concretas deben verificarse conforme a la legislación vigente aplicable a cada organización.
Servicios relacionados
Privacidad, Protección de Datos y DPO
Diseñamos e implantamos modelos de cumplimiento en privacidad y protección de datos adaptados a la actividad real de cada organización.
Ciberseguridad y Compliance Digital
Ayudamos a prevenir, gestionar y documentar los riesgos jurídicos derivados de incidentes de ciberseguridad, brechas de datos y uso de herramientas digitales.
Startups, Innovación y Derecho Societario
Acompañamos a startups, empresas innovadoras y compañías tecnológicas desde su constitución hasta sus rondas de inversión, crecimiento y operaciones societarias.