Denuncia anónima versus confidencial en empresas

Una comunicación sobre un posible fraude, acoso o incumplimiento puede ser la primera oportunidad de una empresa para evitar un daño mayor y una sanción. Pero, si quien informa teme represalias, difícilmente utilizará un sistema que no le genere confianza. Por eso, al analizar la denuncia anónima versus confidencial, no basta con elegir una opción técnica: hay que diseñar un canal interno que cumpla la Ley 2/2023, proteja a las personas y permita investigar con criterio.

La confusión entre ambos conceptos es frecuente. Muchas organizaciones anuncian un canal «anónimo» cuando, en realidad, solo garantizan que los datos del informante no se difundirán. Esta diferencia puede afectar a la confianza de la plantilla, a la calidad de la investigación y al cumplimiento de las obligaciones legales.

Denuncia anónima y confidencial: no son lo mismo

Una denuncia anónima es aquella en la que la persona informante no facilita su identidad o utiliza el canal de manera que la empresa no puede conocerla. El sistema debe permitir presentar la comunicación sin nombre, correo corporativo identificable ni otros datos que revelen quién la ha remitido.

Una denuncia confidencial, en cambio, identifica al informante ante el sistema o ante las personas responsables de su gestión. Sin embargo, esa identidad queda restringida y no puede divulgarse a terceros, a la persona afectada ni a responsables no autorizados, salvo en los supuestos legalmente previstos.

La Ley 2/2023 exige que los sistemas internos de información permitan comunicaciones anónimas. A la vez, impone la confidencialidad de la identidad de cualquier informante y de las personas afectadas. Por tanto, una empresa obligada a disponer de canal interno no debería plantearlo como una elección entre una modalidad u otra: debe poder recibir ambas.

La diferencia práctica es clara. En la comunicación anónima, la organización protege al informante porque desconoce quién es. En la confidencial, la protección depende de controles internos, permisos de acceso, formación y una gestión estricta de la información.

Qué exige la Ley 2/2023 en el canal interno

La Ley 2/2023 regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Entre otras entidades, obliga a implantar un Sistema Interno de Información a las empresas con 50 o más trabajadores, además de determinadas entidades del sector público y organizaciones de sectores regulados, con independencia de su plantilla.

El canal no consiste en habilitar una dirección de correo electrónico genérica o un buzón sin control. Debe integrarse en un sistema con responsable designado, procedimiento de gestión, medidas de confidencialidad, registro de informaciones y plazos definidos. También debe permitir presentar comunicaciones por escrito y, cuando se solicite, mediante reunión presencial dentro de los límites legales.

El procedimiento debe acusar recibo de la comunicación en un plazo máximo de siete días naturales, salvo que ello pueda comprometer la confidencialidad. La investigación y respuesta deben gestionarse, con carácter general, en un máximo de tres meses desde el acuse de recibo o desde el vencimiento del plazo para emitirlo. En casos especialmente complejos, el plazo puede ampliarse hasta tres meses adicionales.

Además, la empresa debe informar de forma clara sobre el funcionamiento del canal, las vías externas disponibles y las garantías frente a represalias. No hacerlo correctamente deja a la organización expuesta a incumplimientos que pueden derivar en sanciones relevantes.

Cuándo conviene una denuncia anónima

La posibilidad de informar de forma anónima reduce una de las principales barreras: el miedo. En empresas pequeñas, comunidades profesionales muy cerradas o departamentos donde resulta fácil identificar el origen de una queja, este factor es decisivo.

Permitir el anonimato resulta especialmente útil cuando se comunican hechos sensibles, como conductas de acoso, irregularidades contables, conflictos de interés, trato discriminatorio o incumplimientos de seguridad. La persona puede aportar información sin anticipar que su posición laboral o profesional quedará comprometida.

Ahora bien, anonimato no significa falta de diálogo. Un canal bien configurado debe permitir una comunicación segura con el informante mediante un código, buzón privado o espacio de seguimiento. Así, la empresa puede solicitar documentos, concretar fechas, contrastar versiones o pedir aclaraciones sin revelar la identidad de quien informa.

El límite está en la calidad de los datos aportados. Una denuncia anónima excesivamente genérica, sin fechas, hechos verificables, personas implicadas o documentos, puede impedir una investigación eficaz. La empresa no debe descartarla por ser anónima, pero sí puede archivar la información cuando carezca de verosimilitud, esté fuera del ámbito del canal o no permita ninguna comprobación razonable.

Cuándo aporta más valor la denuncia confidencial

La denuncia confidencial suele facilitar investigaciones más rápidas y completas. Si el responsable del sistema puede contactar directamente con el informante, resulta más sencillo ampliar la información, comprobar detalles y evaluar la credibilidad del relato.

También permite aplicar con mayor precisión las medidas de protección frente a represalias. La empresa puede valorar si existe un riesgo real de cambio de funciones, presión por parte de superiores, aislamiento o perjuicio profesional y actuar antes de que el daño se produzca.

Pero esa utilidad exige garantías reales. No es aceptable que la identidad del informante sea accesible para recursos humanos, mandos intermedios, administración o dirección por mera comodidad. El acceso debe limitarse a las personas estrictamente necesarias para gestionar la comunicación, y cada acceso debe estar justificado.

La confidencialidad tampoco equivale a secreto absoluto. En determinadas actuaciones judiciales o administrativas, la identidad puede ser requerida conforme a la normativa aplicable. El deber de la empresa es informar de estas excepciones, minimizar el acceso y no revelar datos fuera de los casos legalmente permitidos.

El error más caro: confundir confidencialidad con privacidad genérica

Un canal de información trata datos personales especialmente delicados. Puede contener acusaciones, datos laborales, información sobre salud, relaciones personales o hechos potencialmente delictivos. Por ello, la implantación debe coordinar la Ley 2/2023 con el RGPD y la LOPDGDD.

La empresa debe definir quién es responsable del tratamiento, para qué se recogen los datos, qué personas pueden acceder, cuánto tiempo se conservarán y cómo se atenderán los derechos de las personas implicadas. No puede utilizar la información del canal para finalidades ajenas ni conservarla indefinidamente.

Como regla general, los datos deben suprimirse del canal cuando hayan transcurrido tres meses desde su recepción, salvo que sea necesario conservarlos para dejar evidencia del funcionamiento del sistema. Si los hechos requieren una investigación o actuación posterior, la información debe trasladarse al entorno adecuado, con acceso restringido y medidas de seguridad proporcionales.

También es esencial preservar los derechos de la persona afectada. Debe ser informada de los hechos en el momento oportuno, sin revelar la identidad del informante ni comprometer la investigación. Una gestión precipitada puede destruir pruebas, generar represalias o provocar un conflicto laboral innecesario.

Cómo decidir el modelo adecuado para su organización

La respuesta correcta no es elegir entre anonimato o confidencialidad, sino implantar un canal que combine ambas garantías. La empresa debe aceptar comunicaciones anónimas y, al mismo tiempo, asegurar que las identificadas se gestionan con reserva estricta.

Antes de poner el canal en marcha conviene revisar el tamaño de la plantilla, la actividad, el tipo de riesgos, la estructura de mandos y los medios disponibles para investigar. Una pyme no necesita una burocracia desproporcionada, pero sí un procedimiento operativo: recepción segura, clasificación inicial, comunicación con el informante, investigación documentada, decisión motivada y archivo conforme a la normativa.

Externalizar la gestión puede ser una decisión eficiente cuando no existe personal independiente o formado para asumirla. Reduce conflictos de interés, evita que la comunicación llegue a personas implicadas y permite mantener una trazabilidad adecuada. Lo relevante es que la empresa conserve el control de sus obligaciones y que el sistema esté adaptado a su realidad, no que contrate una herramienta sin procedimiento.

Un canal fiable se demuestra antes de necesitarlo

La plantilla utilizará el canal cuando perciba que funciona, no cuando lea una cláusula legal en la intranet. Explique qué puede comunicarse, quién lo gestiona, cómo se protege la identidad y qué ocurre después de presentar una información. Formar a responsables y mandos es igual de necesario que instalar la plataforma.

Si su organización debe implantar o revisar su Sistema Interno de Información, hacerlo ahora evita decisiones improvisadas ante una denuncia sensible. Un canal bien diseñado protege a quien informa, da margen para corregir incumplimientos y convierte una obligación legal en una herramienta real de prevención.