Denuncias anónimas legales en la empresa

Una comunicación sobre fraude, acoso o una infracción interna puede llegar sin nombre, sin correo identificable y sin que la persona informante quiera revelar ningún dato personal. Las denuncias anónimas legales son posibles en España y deben poder gestionarse con seriedad cuando la organización está obligada a disponer de un Sistema interno de información. Ignorarlas, intentar descubrir al informante o tratarlas como un simple buzón de sugerencias puede convertir un problema interno en un riesgo legal, laboral y reputacional mucho mayor.

La cuestión no consiste solo en instalar un formulario. La Ley 2/2023 exige un sistema que permita recibir, tramitar y proteger las informaciones sobre determinados incumplimientos. Para una pyme, una asociación o una comunidad de propietarios afectada por la norma, hacerlo bien implica definir responsables, plazos, medidas de protección y reglas claras para tratar los datos personales.

¿Son legales las denuncias anónimas?

Sí. La Ley 2/2023 permite expresamente que las comunicaciones se presenten de forma anónima. Por tanto, un canal interno correctamente implantado debe admitir que la persona informante no se identifique si así lo decide. Esto no significa que toda denuncia anónima sea automáticamente cierta, ni que obligue a sancionar sin comprobar los hechos. Significa que la entidad debe recibirla, analizar su verosimilitud y tramitarla con garantías.

La utilidad es evidente. Muchas personas no comunican una irregularidad por miedo a represalias, pérdida de oportunidades, presión de superiores o deterioro de la relación laboral. Si el único modo de informar exige aportar nombre y apellidos, el canal pierde una parte esencial de su función preventiva.

Ahora bien, anonimato no es lo mismo que confidencialidad. En una comunicación confidencial, la identidad del informante existe, pero se protege y solo puede ser conocida por las personas autorizadas. En una comunicación anónima, la organización no conoce esa identidad. Ambos supuestos requieren seguridad, acceso limitado y una gestión documentada.

Cuándo debe existir un canal que admita denuncias anónimas legales

La obligación de disponer de un Sistema interno de información alcanza, con carácter general, a las empresas privadas de 50 o más trabajadores. También afecta a determinadas entidades y sectores con independencia de su plantilla, así como a entidades del sector público en los términos previstos por la Ley 2/2023.

Las empresas de 50 a 249 trabajadores pueden compartir medios para recibir y tramitar comunicaciones cuando la ley lo permite, pero no pueden usar esa posibilidad como excusa para diluir responsabilidades. Cada entidad debe seguir garantizando la confidencialidad, la correcta investigación y la protección frente a represalias.

Una empresa con menos de 50 trabajadores puede no estar obligada por su tamaño, salvo que concurra una obligación sectorial específica. Aun así, implantar un canal voluntario puede ser una decisión prudente cuando existen riesgos de fraude, conflictos laborales recurrentes, tratamiento de fondos públicos, estructuras con varios centros o una exposición reputacional relevante. La diferencia está en que un canal voluntario también debe diseñarse con rigor: abrir una vía de denuncias sin capacidad para gestionarla aumenta el riesgo en lugar de reducirlo.

Qué debe hacer la empresa cuando recibe una comunicación anónima

La primera reacción debe ser técnica, no emocional. No corresponde desacreditar la información porque sea anónima, ni iniciar una investigación improvisada enviando mensajes a toda la plantilla. El responsable del sistema debe valorar si los hechos están dentro del ámbito material del canal y si existen elementos mínimos para iniciar actuaciones.

Si la información resulta manifiestamente infundada, ajena al canal o carece por completo de contenido verificable, puede acordarse su inadmisión conforme al procedimiento interno. Esa decisión debe quedar motivada. Si, por el contrario, describe hechos concretos, fechas, personas implicadas, documentos o patrones de conducta, procede abrir una investigación proporcionada.

El canal debe permitir mantener la comunicación con quien informa, incluso cuando no revele su identidad. Un buzón seguro con código de seguimiento permite solicitar aclaraciones, pedir documentación adicional y comunicar la admisión o el cierre del expediente. Sin esta posibilidad, muchas investigaciones se bloquean por falta de detalles que podrían haberse obtenido con una simple pregunta.

La persona afectada por la comunicación también tiene derechos. Debe preservarse la presunción de inocencia, evitarse la difusión innecesaria de acusaciones y darse audiencia cuando corresponda. Investigar no equivale a condenar. Una gestión precipitada puede provocar conflictos laborales, reclamaciones por vulneración del honor o un tratamiento indebido de datos personales.

Un ejemplo frecuente en pequeñas empresas

Una persona informa anónimamente de que un responsable está alterando registros de jornada. La empresa no debe enviar de inmediato un correo acusatorio ni preguntar públicamente quién ha denunciado. Lo razonable es revisar los registros, comprobar cambios, contrastar horarios reales y analizar si existen instrucciones internas o incidencias repetidas.

Si aparecen indicios, se amplía la investigación con las medidas necesarias y limitadas al caso. Si no los hay, se documenta el cierre. En ambos escenarios, el expediente debe manejarse por un número reducido de personas y con acceso restringido.

Protección de datos: el error que puede costar caro

Un canal de información implica tratamiento de datos personales, incluso cuando la comunicación sea anónima. Puede contener nombres de empleados, clientes, proveedores, testigos o personas afectadas. Por ello, el sistema debe cumplir el RGPD, la LOPDGDD y las previsiones específicas de la Ley 2/2023.

No se trata de acumular todo lo recibido por si acaso. Solo deben tratarse los datos adecuados, pertinentes y necesarios para investigar. Los datos manifiestamente irrelevantes deben eliminarse sin demora. Asimismo, hay que establecer controles de acceso, registro de actuaciones, deber de confidencialidad e información adecuada sobre el funcionamiento del canal.

El plazo también importa. La permanencia de una comunicación en el sistema debe limitarse a lo necesario para decidir si procede iniciar una investigación. La normativa establece, como regla general, un máximo de tres meses desde la recepción para esa conservación inicial, salvo que la investigación requiera mantener la información en otro entorno habilitado y con una base adecuada. Dejar expedientes olvidados durante años en una carpeta compartida es una mala práctica con consecuencias claras.

Tampoco es aceptable utilizar el canal para vigilar indiscriminadamente a la plantilla. Su finalidad debe estar definida: comunicar acciones u omisiones comprendidas en el ámbito de aplicación de la ley o en el procedimiento interno. Para que el sistema sea defendible, la empresa debe informar de forma transparente, pero sin revelar datos que comprometan una investigación.

Represalias: el riesgo no termina al cerrar el expediente

La Ley 2/2023 prohíbe las represalias contra las personas que informan de buena fe o con motivos razonables para pensar que la información era veraz. La protección puede alcanzar a empleados, autónomos, candidatos, exempleados, proveedores, accionistas y personas vinculadas con el informante, entre otros supuestos.

Una represalia no siempre adopta la forma de un despido. Puede consistir en una modificación perjudicial de funciones, aislamiento, amenaza, evaluación negativa injustificada, no renovación de un contrato o bloqueo de una promoción. Si la empresa identifica al informante y después adopta una medida adversa sin poder justificarla objetivamente, el conflicto puede escalar con rapidez.

La protección no ampara denuncias realizadas a sabiendas de su falsedad. Sin embargo, distinguir una comunicación no acreditada de una denuncia deliberadamente falsa requiere prudencia. Que la investigación no confirme los hechos no demuestra, por sí solo, mala fe del informante.

Errores habituales que invalidan la utilidad del canal

El primer error es pensar que un correo electrónico genérico resuelve la obligación. Un buzón sin control de accesos, sin acuse de recibo, sin procedimiento y sin trazabilidad no ofrece las garantías exigibles. El segundo es nombrar responsable del sistema a alguien implicado en la gestión cotidiana de los posibles denunciados, sin medidas para evitar conflictos de interés.

También es frecuente usar formularios que obligan a identificarse pese a anunciarse como anónimos, o plataformas que registran datos técnicos sin explicar cómo se tratan. Otro fallo es comunicar detalles de la denuncia a responsables que no necesitan conocerlos. Cuantas más personas acceden a la información, mayor es el riesgo de filtración y de represalias.

Finalmente, muchas organizaciones implantan la herramienta y olvidan el protocolo. El canal necesita responsables formados, criterios de admisión, plazos de respuesta, pautas de investigación y un sistema de custodia documental. La tecnología es necesaria, pero no sustituye el cumplimiento operativo.

Implantar un sistema útil y conforme a la Ley 2/2023

Antes de contratar una plataforma o aprobar un protocolo estándar, conviene revisar la estructura real de la entidad: plantilla, grupo empresarial, centros de trabajo, sectores regulados, relaciones con proveedores y riesgos más probables. Un sistema sobredimensionado encarece la gestión; uno básico pero mal configurado deja incumplimientos sin cubrir.

La implantación debe incluir la designación del Responsable del Sistema, la aprobación de un procedimiento de gestión, la configuración de una vía que admita comunicaciones anónimas, la información a empleados y terceros, y la coordinación con las obligaciones de protección de datos. Si se externaliza parte de la gestión, la empresa sigue necesitando saber quién decide, quién investiga y quién tiene acceso a cada expediente.

Consultoría Rosario Polo trabaja este proceso desde una perspectiva práctica: cumplir la norma sin trasladar a la empresa una carga administrativa imposible de sostener. El objetivo es que el canal esté preparado antes de que llegue una comunicación sensible, no cuando ya existe un conflicto interno.

Un canal bien implantado no sirve para crear desconfianza. Sirve para detectar problemas a tiempo, corregirlos con pruebas y demostrar que la organización actúa con seriedad. Si su entidad necesita admitir denuncias anónimas, la mejor decisión es establecer ahora un procedimiento claro, seguro y capaz de responder cuando realmente haga falta.