Dejan Jasnic · Cofundador y responsable de Compliance, Trusty · Más de 20 años en lucha contra el fraude y compliance · Junta del Capítulo Suizo de ACFE
En la mayoría de los casos, sí. Un canal de denuncias trata datos sensibles de los informantes, de las personas afectadas y de los testigos, por lo que suele cumplir el criterio del RGPD de un tratamiento que «entrañe probablemente un alto riesgo» y exige una evaluación de impacto relativa a la protección de datos (EIPD). Algunos países lo establecen de forma expresa: el decreto italiano de whistleblowing exige una EIPD y la autoridad francesa de protección de datos (CNIL) incluye los sistemas de denuncia entre los tratamientos que siempre la requieren. Donde ninguna norma lo dice, los criterios de alto riesgo de las autoridades de control apuntan en la misma dirección. La EIPD debe hacerse antes de poner en marcha el canal de denuncias y revisarse cuando cambie.
Esta guía explica cuándo se requiere una EIPD, qué debe cubrir para un canal de denuncias y las deficiencias que surgen con más frecuencia. Para el marco legal más amplio, consulte nuestra guía sobre la ley de denuncias en la UE.
en el canal
Un canal de denuncias diseñado en torno a la confidencialidad. Trusty Whistleblowing le ofrece una bandeja de entrada anónima bidireccional, un registro de auditoría completo, plazos de conservación configurables y un acuerdo de encargo de tratamiento para cada cliente.
Por qué un canal de denuncias es una cuestión de protección de datos
Un canal de denuncias sirve para recopilar información sobre posibles irregularidades. Esa información casi siempre son datos personales: sobre la persona que informa, la persona acusada y los colegas o testigos nombrados durante el proceso.
Tres características hacen que este tratamiento sea sensible:
- Categorías especiales y datos penales. Las denuncias pueden revelar el estado de salud, la afiliación sindical o la vida sexual, que son categorías especiales de datos según el artículo 9 del RGPD. Muchas denuncias describen posibles infracciones, lo que activa el artículo 10 sobre datos relativos a condenas e infracciones penales.
- Personas que no saben que han sido nombradas. La persona afectada por una denuncia suele enterarse tarde, si es que llega a enterarse, y tiene poco control sobre lo que se registra sobre ella.
- Un deber legal de confidencialidad. El artículo 16 de la Directiva (UE) 2019/1937 exige que la identidad del informante no se revele más allá del personal autorizado que gestiona las denuncias sin su consentimiento explícito. Esto también cubre cualquier información de la que se pueda deducir su identidad.
La Directiva también dice que los datos personales que manifiestamente no sean pertinentes para una denuncia no deben recopilarse, o deben eliminarse sin dilación indebida si se recopilaron por accidente (artículo 17). Estas obligaciones deben integrarse en el diseño del canal, y la EIPD es donde demuestras cómo.
Cuándo se requiere una EIPD
El artículo 35, apartado 1, del RGPD exige una EIPD antes de cualquier tratamiento que sea probable que entrañe un alto riesgo para los derechos y libertades de las personas. El artículo 35, apartado 3, enumera tres casos en los que siempre es obligatoria, incluido el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales.
Para todo lo demás, las directrices sobre EIPD del Grupo de Trabajo del Artículo 29 (WP248 rev.01) establecen nueve criterios. Como regla general, el tratamiento que cumpla dos de ellos necesitará, en la mayoría de los casos, una EIPD. Un canal de denuncias suele cumplir al menos dos: datos sensibles o de carácter altamente personal, y interesados vulnerables, categoría que, según las directrices, incluye a los empleados.
En algunos países, la cuestión la resuelven normas nacionales. Cada autoridad de protección de datos (APD) debe publicar una lista de los tratamientos que requieren una EIPD (artículo 35, apartado 4, del RGPD). Nuestra revisión de esas listas y de las guías relacionadas muestra lo siguiente:
País | Posición sobre los canales de denuncia | Fuente |
|---|---|---|
Francia | La lista de la CNIL incluye el tratamiento para gestionar alertas y denuncias profesionales | CNIL Délibération n° 2018-327 |
Polonia | La lista de la UODO cita como ejemplo los sistemas de denuncia de irregularidades | Lista EIPD de la UODO |
Italia | No está en la lista del Garante, pero el decreto de denuncias exige que el modelo de información se base en una EIPD | Decreto Legislativo 24/2023, artículo 13(6) |
Alemania | No está en la lista nacional, pero la guía de la DSK sobre líneas directas de denuncia dice que se necesita una EIPD debido al riesgo particularmente alto | DSK Orientierungshilfe (2018) |
España, Bélgica, Países Bajos, Irlanda | No se mencionan en las listas nacionales, por lo que se aplican los criterios generales | Listas nacionales de EIPD |
Si concluyes que no se necesita una EIPD, documente su razonamiento. Los grupos que gestionan un canal en varios países deben comprobar cada norma nacional: nuestra guía sobre denuncias para empleadores multinacionales explica cómo.
acceso claro
Mantenga las denuncias alejadas de personas que no deberían verlas. Trusty ofrece SSO en todos los planes, autenticación de dos factores a partir del plan Standard y permisos basados en roles en el Advanced, con un registro de auditoría completo de quién hizo qué.
Qué debe cubrir la EIPD de un canal de denuncias
El artículo 35, apartado 7, del RGPD establece el contenido mínimo: una descripción sistemática del tratamiento y sus fines, una evaluación de la necesidad y la proporcionalidad, una evaluación de los riesgos para las personas afectadas y las medidas para abordar esos riesgos. Para un canal de denuncias, repasa estos puntos:
- Finalidad y base jurídica. Recibir y tramitar denuncias conforme a su ley nacional de protección del informante. Para los empleadores que deben tener un canal, esto suele ser el cumplimiento de una obligación legal.
- Categorías de datos. Identidad y datos de contacto si el informante los facilita, el contenido de la denuncia, pruebas, notas de entrevistas y cualquier dato de categoría especial o relativo a infracciones penales.
- Derechos de acceso y roles. Nombre los roles: el gestor de la denuncia, un suplente para conflictos de intereses, investigadores. Nadie más, ni siquiera TI o la alta dirección, debería tener acceso habitual.
- Plazos de conservación. Establece un periodo para cada etapa. Italia permite que los registros se conserven durante no más de cinco años desde el resultado final. España exige que los datos se eliminen del sistema después de tres meses si no se ha iniciado ninguna investigación, a menos que se conserven para demostrar cómo funciona el sistema, y establece un límite absoluto de diez años. Su política de denuncias debe indicar el periodo que elijas.
- Derechos del informante y de la persona afectada. Cómo informas a las personas según los artículos 13 y 14 del RGPD, cuándo se puede retrasar la información a la persona afectada y cómo se gestionan las solicitudes de acceso sin revelar al informante.
- Seguridad. Cifrado, autenticación, registro, ubicación del alojamiento y cómo los informantes anónimos mantienen su anonimato.
- Encargados del tratamiento. Si un proveedor de software aloja el canal, actúa como su encargado del tratamiento y necesita un contrato según el artículo 28 del RGPD. El decreto de Italia lo exige expresamente.
Cómo realizar una EIPD en la práctica
- Trace el proceso. Siga una denuncia desde su envío hasta su eliminación, incluyendo denuncias orales y reuniones.
- Implique al DPD desde el principio. El artículo 35, apartado 2, del RGPD exige que el responsable del tratamiento recabe el asesoramiento del delegado de protección de datos (DPD) cuando se haya designado uno.
- Identifica los riesgos. Por ejemplo: el informante es identificado a través de metadatos, un directivo acusado en una denuncia puede leerla, o los datos se conservan indefinidamente.
- Elija medidas. Asocie cada riesgo a un control y registre quién es el responsable.
- Apruebe y revise. La dirección acepta el riesgo residual con el asesoramiento del DPD. Revise la EIPD cuando cambie de proveedor, añada un país o abra un nuevo canal.
En Italia, las directrices de 2025 de la ANAC, la autoridad nacional anticorrupción, añaden dos puntos útiles. El responsable del tratamiento puede apoyarse en el proveedor de software para elaborar la EIPD. Y el correo electrónico ordinario o el correo electrónico certificado (PEC) no se consideran adecuados por sí solos para proteger la confidencialidad, a menos que se identifiquen contramedidas específicas y justificadas en la EIPD. Para una visión más amplia, consulte protección de datos y cumplimiento.
Deficiencias comunes
- Plazo de conservación sin definir. «Mientras sea necesario» no es un plazo de conservación. Establece uno para cada etapa y asegúrese de que el sistema lo haga cumplir.
- Demasiadas personas con acceso. Los buzones compartidos, las bandejas de entrada de RR. HH. y las cuentas de administrador a menudo permiten que más personas vean las denuncias de lo que permite la norma sobre personal autorizado.
- Sin acuerdo de encargo de tratamiento. Utilizar un proveedor sin un contrato del artículo 28 es una deficiencia en sí misma.
- Se olvida a la persona afectada. Muchas EIPD se centran en el informante. La persona nombrada en una denuncia también tiene derechos, y la evaluación debe explicar cómo se respetan.
- Escrita una vez, nunca revisada. Una EIPD del lanzamiento del canal no reflejará nuevos países, nuevos gestores o un nuevo proveedor.
Cómo ayuda Trusty Whistleblowing
Trusty Whistleblowing aplica de forma concreta los controles que exige una EIPD. Los datos se alojan en un centro de datos certificado ISO 27001 en Alemania, las conexiones y la comunicación están cifradas y no se almacenan direcciones IP. Los informantes pueden permanecer anónimos y continuar el diálogo a través de una bandeja de entrada segura.
Cada plan incluye SSO, un registro de auditoría completo y expedientes de casos a prueba de manipulaciones, con autenticación de dos factores a partir del plan Standard y permisos basados en roles en el Advanced. Los plazos de conservación son configurables, con recordatorios de eliminación, y hay un acuerdo de encargo de tratamiento disponible para cada cliente.
¿Busca un software de denuncias? Trusty configura un canal de denuncias interno desde 49 € al mes.
Este artículo es información general, no asesoramiento legal. Fuentes: Reglamento (UE) 2016/679 (RGPD); Directiva (UE) 2019/1937; Grupo de Trabajo del Artículo 29, WP248 rev.01; CNIL, lista de tratamientos que requieren una EIPD; Lista EIPD de la UODO; Lista EIPD del Garante; Decreto Legislativo 24/2023; DSK, Orientierungshilfe Whistleblowing-Hotlines; Lista EIPD de la AEPD; Ley 2/2023; ANAC, Linee Guida n. 1/2025.
Preguntas frecuentes
En algunos países se exige específicamente, por ejemplo en Italia por el Decreto Legislativo 24/2023 y en Francia por la lista de la CNIL. En otros lugares, un canal de denuncias suele cumplir al menos dos de los criterios de alto riesgo de los reguladores, lo que en la mayoría de los casos significa que se requiere una EIPD.
Le corresponde al responsable del tratamiento, es decir, a la organización que gestiona el canal. Debe recabar el asesoramiento de su delegado de protección de datos cuando se haya designado uno, y puede pedir al proveedor de software los detalles técnicos.
El RGPD no establece un periodo fijo, por lo que deciden la ley nacional y su EIPD. Italia permite hasta cinco años desde el resultado final. España establece un límite absoluto de diez años y exige la eliminación después de tres meses si no se ha iniciado ninguna investigación.
Sí, en principio, pero puede restringirse para proteger la identidad del informante. Tanto la CNIL de Francia como la DSK de Alemania confirman el derecho permitiendo al mismo tiempo que se oculte la identidad del informante, y la ley italiana lo limita cuando perjudicaría la confidencialidad del informante.
No. La organización sigue siendo el responsable del tratamiento y debe realizar la EIPD. El proveedor actúa como encargado del tratamiento bajo un contrato del artículo 28 y puede suministrar la información técnica que necesite.
con la Directiva de la UE y el RGPD
Software de whistleblowing simplificado, creado por expertos en compliance.