Canal de denuncias y RGPD: qué debes saber

Un canal de denuncias no solo tiene que cumplir la Ley 2/2023 — también trata datos personales, y eso activa el RGPD. Las dos normas no compiten entre sí, pero conviene entender cómo encajan.

¿Qué datos personales se tratan?

Más de los que parece a simple vista: identidad del informante (si no elige el anonimato), datos de las personas afectadas por la comunicación, datos de testigos mencionados, y en ocasiones categorías especiales de datos (salud, afiliación sindical) si el contenido de la denuncia los incluye incidentalmente.

¿Quién es responsable del tratamiento?

Tu empresa, no el proveedor de la herramienta. Es tu empresa quien decide para qué se usan los datos y con qué medios, así que asume las obligaciones del RGPD: base legal para el tratamiento (aquí, el cumplimiento de una obligación legal, la propia Ley 2/2023), información a los interesados, y respuesta a sus derechos cuando proceda.

¿Y el proveedor de la plataforma?

Actúa como encargado del tratamiento: trata los datos siguiendo tus instrucciones, no las suyas propias. Esta relación debe estar regulada por un contrato de encargo de tratamiento (art. 28.3 RGPD) — en 1r9 esto queda resuelto automáticamente al aceptar los Términos de servicio, sin que tengas que firmar nada aparte.

El principio de minimización, aplicado al canal

El RGPD exige tratar solo los datos necesarios para la finalidad — en este caso, investigar la comunicación. Esto tiene una consecuencia práctica importante: no conviene "guardar por si acaso" datos que no son relevantes para el caso, ni ampliar el acceso a más personas de las estrictamente necesarias.

Plazo de conservación: los tres meses

Los datos personales de una comunicación deben suprimirse a los tres meses de haber finalizado la investigación, salvo que sigan siendo necesarios para un procedimiento judicial, penal o para la propia investigación si continúa abierta. No es una recomendación de buenas prácticas — es una obligación específica que combina Ley 2/2023 y RGPD.

¿Choca la confidencialidad del informante con el derecho de acceso de terceros?

Es una de las tensiones más delicadas del canal. Una persona afectada por una denuncia puede, en teoría, ejercer su derecho de acceso RGPD — pero ese derecho no puede usarse para averiguar la identidad del informante, que está protegida con carácter reforzado por el art. 33 de la Ley 2/2023. En la práctica, esto exige responder al derecho de acceso de forma que se proteja la identidad del informante, no simplemente denegarlo.

Medidas de seguridad exigibles

El RGPD exige medidas técnicas y organizativas adecuadas al riesgo (art. 32) — en un canal de denuncias, ese riesgo es alto por la sensibilidad de los datos. En la práctica esto se traduce en cifrado de identidades, control de accesos por expediente, y registro de quién accede a qué y cuándo, tal y como exige también el libro-registro.

En resumen

El RGPD no es un obstáculo para el canal de denuncias — es el marco que regula cómo se tratan los datos que el canal necesariamente maneja. Cumplir bien la Ley 2/2023 (cifrado, confidencialidad, plazos, minimización) suele significar, casi automáticamente, cumplir también con el RGPD en este ámbito concreto.