Denuncias internas: ¿protección del informante o derecho de defensa del investigado?
Comentario a la multa de 120.000 € impuesta por la AEPD a una empresa por revelar la identidad de la persona informante.
Desde los equipos de Investigaciones Internas, a menudo nos encontramos ante la tesitura de gestionar comunicaciones internas en contextos donde resulta particularmente difícil preservar la identidad de la persona informante (denunciante). El caso paradigmático suele darse en aquellas investigaciones derivadas de conflictos interpersonales dentro de equipos reducidos o en entornos laborales cerrados, dado que, por las características del hecho objeto de esclarecimiento, resulta muy difícil evitar la identificación de la persona informante.
En este contexto, recientemente se ha recibido un serio toque de atención mediante la sanción impuesta por la Agencia Española de Protección de Datos (en adelante, AEPD) a una empresa de explotación y gestión de tanatorios que fue multada con 120.000 euros por haber vulnerado el principio de confidencialidad al revelar la identidad de las personas denunciantes en un procedimiento interno por acoso. La divulgación de sus nombres, apellidos y puestos de trabajo entre varios empleados —a través de correos electrónicos masivos y con resoluciones adjuntas— generó un daño añadido a las personas afectadas, incluyendo consecuencias emocionales y bajas laborales.
Este precedente demuestra que, incluso cuando las denuncias se originan en órganos como comités de empresa o sin invocación expresa del anonimato, el deber de confidencialidad no se desaparece. La protección de la identidad debe ser activa, proactiva y estructural. En este sentido, las entidades están jurídicamente obligadas a garantizar la confidencialidad de los datos personales que tratan, conforme a la normativa vigente en materia de protección de datos —en particular, el artículo 5.1.f) del Reglamento (UE) 2016/679, General de Protección de Datos (en adelante, RGPD)—. Adicionalmente, la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante, Ley 2/2023), refuerza esta obligación al establecer expresamente el deber de salvaguardar la identidad y la integridad de quienes utilizan los canales internos de información.
A mayor abundamiento, esta doble cobertura normativa implica una doble garantía de protección para el informante, al coexistir dos autoridades con potestad sancionadora en caso de vulneración: por un lado, la AEPD respecto a infracciones en el tratamiento de datos personales; y por otro, la Autoridad Independiente de Protección del Informante (A.A.I.), creada específicamente por la Ley 2/2023 para velar por los derechos de los informantes en el contexto de la lucha contra la corrupción y la protección frente a represalias.
Reforzar los protocolos de privacidad, formar a los equipos instructores y sensibilizar a toda la organización no son medidas opcionales, sino indispensables. En el equipo de Investigaciones Internas de Molins Defensa Penal trabajamos precisamente para asegurar que cada paso en una investigación sea respetuoso con los derechos y el bienestar de todas las personas implicadas. Es esencial recordar que la garantía de confidencialidad no es un valor añadido, sino una de las piedras angulares que sostienen la posibilidad misma de que afloren los hechos más sensibles en la organización. Sin ella, se aminoran las denuncias. Y sin denuncias, no hay cultura ética que perdure.
Departamento de Investigaciones Internas de Molins Defensa Penal.