Canal de denuncias: cómo proteger la identidad del informante al compartir el expediente
Un canal de denuncias puede estar perfectamente configurado —cifrado, accesos restringidos, buzón anónimo— y aun así delatar al informante. El punto débil casi nunca es la plataforma, sino lo que pasa después: el expediente se descarga, se reenvía a Recursos Humanos, se adjunta a un informe para el comité de dirección o se entrega a un despacho externo. En cada copia viajan nombres, firmas de correo, metadatos y detalles que permiten deducir quién habló. Este artículo explica qué exige la normativa española y europea y cómo preparar los documentos de una investigación para que cada destinatario vea solo lo que necesita.
Qué exige la ley: identidad y todo lo que permita deducirla
La Directiva (UE) 2019/1937, de protección de los denunciantes, fija en su artículo 16 el deber de confidencialidad: la identidad del denunciante no puede revelarse, sin su consentimiento expreso, a nadie que no forme parte del personal autorizado para recibir o tramitar denuncias. Y añade algo decisivo para quien maneja documentos: la protección alcanza también a «cualquier otra información» de la que pueda deducirse, directa o indirectamente, esa identidad. El artículo 17 obliga a no recoger datos manifiestamente irrelevantes y, si se recogen por accidente, a eliminarlos sin dilación.
En España, la transposición es la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Sus artículos clave para el tratamiento documental son estos:
- Artículo 33 (preservación de la identidad): el sistema interno debe contar con medidas técnicas y organizativas que protejan la identidad del informante, de las personas afectadas y de los terceros mencionados. La identidad solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.
- Artículo 32 (tratamiento de datos en el sistema interno): limita quién accede (responsable del sistema, RR. HH. solo si procede una medida disciplinaria, asesoría jurídica si procede una acción legal, encargados y DPD) y obliga a suprimir de inmediato los datos que no sean necesarios para investigar.
- Plazo de tres meses: si en ese tiempo no se ha iniciado la investigación, los datos deben suprimirse, y las comunicaciones no tramitadas solo pueden conservarse de forma anonimizada.
- Artículo 26 (libro-registro): el registro de informaciones no es público y los datos personales que contenga no pueden conservarse más de diez años.
La consecuencia práctica es clara: no basta con tachar el nombre del informante en la primera página. Hay que revisar todo el expediente con la pregunta «¿alguien que conozca la organización podría averiguar quién informó a partir de esto?». La autoridad de control en materia de datos sigue siendo la AEPD, y la Ley 2/2023 crea además la Autoridad Independiente de Protección del Informante (A.A.I.) como canal externo.
Por dónde se filtra la identidad en un expediente de denuncia
Un expediente típico mezcla el formulario de entrada, correos intercambiados con el informante, capturas de pantalla, hojas de cálculo con fichajes o gastos, actas de entrevistas y, a veces, documentos escaneados con anotaciones a mano. Las fugas más habituales son:
- Identificadores directos: nombre, DNI, correo corporativo, teléfono, número de empleado o firma manuscrita en un acta.
- Cabeceras y firmas de correo: un .msg o .eml reenviado conserva remitente, destinatarios, departamento y, a veces, el cargo en la firma.
- Metadatos: el campo «Autor» de un Word o PDF, el nombre del equipo, el historial de revisiones o comentarios ocultos. Lo explicamos en detalle en metadatos ocultos en Word y PDF.
- Identificadores indirectos: «la única persona del turno de noche en el almacén de Zaragoza», una fecha de baja médica, un proyecto concreto o una frase que solo pudo escribir quien estaba en esa reunión.
- Capturas de pantalla: muestran el usuario con sesión iniciada, la foto de perfil o la barra de tareas con el nombre del equipo.
- Tachados falsos: rectángulos negros dibujados encima de un PDF que dejan el texto debajo seleccionable y copiable.
Cada destinatario, una versión del documento
La regla que mejor funciona es preparar versiones distintas según quién vaya a leer el expediente, y registrar qué versión recibió cada uno. Un ejemplo orientativo (ficticio) para una denuncia por acoso en una empresa mediana:
| Destinatario | Qué necesita | Versión recomendada |
|---|---|---|
| Responsable del sistema interno | Todo, para valorar y dirigir la investigación | Original íntegro, con acceso restringido |
| Instructor o comité de investigación | Hechos, pruebas y testigos; no siempre la identidad del informante | Seudonimizada: «Informante-1», «Testigo-A», con mapa de correspondencias custodiado aparte |
| RR. HH. (si procede medida disciplinaria) | Hechos acreditados y persona investigada | Seudonimizada, sin datos del informante ni de terceros ajenos |
| Despacho externo o auditor | Conducta y documentación probatoria | Seudonimizada o anonimizada según el encargo |
| Comité de dirección / informe anual | Tendencias y medidas adoptadas | Anonimizada y agregada |
| Juzgado o Ministerio Fiscal | Lo que requiera la autoridad | Lo que se ordene, informando antes al informante salvo que comprometa la investigación |
La seudonimización es especialmente útil durante la investigación: sustituir cada persona por una etiqueta coherente («Informante-1» en todas las páginas) mantiene el relato comprensible y permite cruzar declaraciones sin exponer a nadie. Pero conviene recordar que un documento seudonimizado sigue siendo un dato personal; si buscas la diferencia exacta, la explicamos en anonimizar frente a seudonimizar.
Método de trabajo para preparar el expediente
Antes de que el expediente salga del sistema interno
- Inventariar identificadores directos e indirectos del informante, de la persona afectada y de los testigos.
- Decidir, para cada destinatario, qué personas deben seguir siendo reconocibles (normalmente, solo la persona investigada).
- Seudonimizar con etiquetas coherentes y guardar el mapa de correspondencias cifrado y separado del documento.
- Revisar adjuntos de los correos, hojas de cálculo (también columnas ocultas) e imágenes, no solo el cuerpo del texto.
- Eliminar metadatos, comentarios y versiones anteriores antes de exportar.
- Comprobar que el tachado es irreversible: intentar seleccionar y copiar el texto en el PDF final.
- Pedir una segunda revisión a alguien que conozca la organización y pueda detectar pistas indirectas.
- Anotar en el registro qué versión se entregó, a quién y con qué finalidad.
Dos detalles que suelen olvidarse. El primero: la narración. Frases como «como le comenté a mi jefa en la reunión del martes» identifican más que un nombre; a veces hay que generalizar el texto, no solo tacharlo. El segundo: los datos de terceros que no tienen nada que ver con los hechos (familiares, clientes, compañeros mencionados de pasada) deben suprimirse, tal como exigen el artículo 17 de la Directiva y el artículo 32 de la Ley 2/2023.
Conservación y cierre: anonimizar en lugar de guardar
La Ley 2/2023 es estricta con los plazos. Si una comunicación no da lugar a investigación, a los tres meses solo puede conservarse anonimizada, por ejemplo para acreditar que el sistema funciona. Y el libro-registro no puede retener datos personales más de diez años. Anonimizar los expedientes cerrados permite conservar el conocimiento útil (tipología de casos, tiempos de respuesta, medidas adoptadas) sin mantener datos que la ley obliga a suprimir. Para que esa anonimización sea real, hay que eliminar también las combinaciones de datos que permitirían la reidentificación: fechas exactas, centro de trabajo, puesto.
Cómo ayuda Anonimatum en la gestión de denuncias
Anonimatum permite preparar estas versiones sin tachar a mano. Su seudonimización sustituye a cada persona por el mismo alias en todo el documento y guarda el mapa de correspondencias cifrado, de modo que solo quien tenga ese mapa puede revertirlo. Detecta con IA propia nombres, organizaciones, fechas, direcciones o importes, y por patrones DNI, correos, teléfonos o IBAN; antes de aplicar, una persona revisa la previsualización y puede añadir zonas manuales sobre firmas o sellos. Trabaja con PDF (también escaneados), Word, Excel, imágenes y correos con sus adjuntos, elimina metadatos y conserva el formato original. La IA se ejecuta en servidores de la Unión Europea, sin enviar el texto a APIs externas de modelos de lenguaje, y Politeia Soft cuenta con la certificación ENS de categoría media; los detalles están en la página de seguridad. Si quiere ver cómo encaja en su sistema interno de información, puede pedirnos una demostración.
Preguntas frecuentes
¿Puede la persona denunciada saber quién la denunció ejerciendo su derecho de acceso?
No. La Ley 2/2023 establece que la identidad del informante no se comunicará a las personas a las que se refieren los hechos y solo puede revelarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en una investigación. Por eso, la copia que se facilite debe ir sin datos que permitan identificarlo.
¿Basta con quitar el nombre del informante del expediente?
No. La Directiva protege también cualquier información de la que pueda deducirse la identidad: cargo, turno, fechas, firmas de correo, metadatos o el propio estilo del relato. Hay que revisar identificadores directos e indirectos.
¿Es mejor anonimizar o seudonimizar durante la investigación?
Durante la investigación suele convenir la seudonimización, porque mantiene la coherencia entre declaraciones. Para informes de dirección, estadísticas o conservación tras el cierre, lo adecuado es anonimizar de forma irreversible.