Por qué no sirve un mail como canal de denuncias
Por qué un email ya no es suficiente: garantizar anonimato y seguridad en los canales de denuncias
La Ley 2/2023, titulada “Reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción”, establece en su preámbulo que su objetivo es proteger a quienes, en un contexto laboral o profesional, detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la norma.
Uno de los aspectos clave de la ley es el derecho al anonimato del denunciante. Este derecho implica que la empresa debe garantizar, con todos los medios disponibles, que la identidad del informante no pueda ser revelada bajo ninguna circunstancia. Un canal que permita enviar denuncias sin firmar, pero que permita rastrear al remitente —por ejemplo, mediante la IP de un email— no cumple con la normativa, ya que no asegura efectivamente el anonimato.
Es importante no confundir anonimato con confidencialidad. La confidencialidad, protegida también por la Ley, se refiere al manejo discreto de la denuncia y de la información asociada, respetando los derechos tanto del denunciante como del denunciado. Según el artículo 5.2, apartado s), el Sistema Interno de Información debe:
“Estar diseñado, establecido y gestionado de forma segura, garantizando la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación, así como de las actuaciones que se desarrollen en la tramitación, impidiendo el acceso de personal no autorizado.”
No obstante, el anonimato, regulado en el artículo 7.3, va más allá y requiere medios técnicos específicos para impedir la identificación del origen de la comunicación. El simple uso de un correo electrónico ordinario no lo garantiza, pues es técnicamente rastreable.
El artículo 7.2 permite la presentación de denuncias “por escrito o verbalmente”, incluyendo correo postal, correo electrónico o sistemas de mensajería de voz, así como reuniones presenciales. Sin embargo, el apartado 3 establece que los canales internos deben permitir comunicaciones anónimas. La inclusión de la palabra “incluso” subraya que el anonimato es un derecho diferenciable de la mera confidencialidad y requiere técnicas distintas para garantizarlo.
Además, la Ley establece que el denunciante, incluso siendo anónimo, tiene derecho a ser informado sobre la tramitación de su denuncia. Esto implica que el sistema debe permitir la comunicación continua con el denunciante sin revelar su identidad, lo que requiere herramientas técnicas avanzadas.
Por último, el artículo 6.2 establece que la gestión externa del sistema debe asegurar independencia, confidencialidad, protección de datos y secreto de las comunicaciones, garantías que un correo electrónico ordinario no ofrece. Cualquier canal de denuncias debe implementar mecanismos de encriptación y seguridad acordes a los estándares legales y tecnológicos actuales.
En conclusión, un email ordinario no cumple con los requisitos legales establecidos por la Ley 2/2023, al menos en dos aspectos fundamentales:
La garantía del derecho al anonimato.
La garantía del secreto y la seguridad de las comunicaciones.
Por ello, en WealthLaw recomendamos la implementación de aplicaciones especializadas, como SAY US, que cumplen con todos los requisitos legales y tecnológicos necesarios para garantizar la protección de los derechos de los denunciantes, asegurando que los sistemas internos de información o canales de denuncias sean eficaces y plenamente conformes a la normativa vigente en 2026.