Cuando hablamos de conservación de datos en el Canal de Denuncias, conviene distinguir el tiempo que los datos pueden permanecer dentro del propio sistema, qué ocurre si se abre una investigación, y qué información puede conservarse realmente, quién puede verla y en qué condiciones debe protegerse la identidad de las personas implicadas.
Qué dice la Ley 2/2023
La Ley 2/2023, regula que los datos solo pueden conservarse durante el tiempo de decidir si se inicia una investigación sobre los hechos comunicados.
La norma establece que, si pasan tres meses desde la recepción de la comunicación y no se han iniciado actuaciones de investigación, debe procederse a la supresión de los datos del sistema, salvo que sea necesario mantener evidencia para acreditar el funcionamiento del canal.
También establece que no deben tratarse datos personales que no sean necesarios para conocer e investigar los hechos. Si en una comunicación aparecen datos irrelevantes, excesivos o ajenos al ámbito de la ley, deben eliminarse.
¿Qué datos se pueden conservar y cuáles deben suprimirse en el Canal de Denuncias?
Solo deben conservarse los datos necesarios para conocer e investigar los hechos informados.
Si una denuncia incluye detalles personales que no aportan a la investigación, referencias a hechos fuera del ámbito de la Ley 2/2023 o información irrelevante, esa parte no debería mantenerse. Un canal bien diseñado no solo recibe comunicaciones, también filtra, limita y corrige el exceso de información.
Otro tipo de información que exige especial cuidado es la relativa a las categorías especiales de datos. Es decir, aquellos datos personales especialmente sensibles que pueden afectar de forma más intensa a la privacidad de una persona.
Si este tipo de datos aparece en una comunicación recibida a través del canal, la ley indica que debe eliminarse de forma inmediata y que no debe incorporarse al sistema para su tratamiento. Tanto la herramienta utilizada como el procedimiento interno y la persona responsable del sistema deben permitir detectar y suprimir con rapidez aquellos datos que la normativa no autoriza a conservar.
También es importante revisar qué ocurre con las comunicaciones que finalmente no siguen adelante. Si una denuncia no se admite o no da lugar a una investigación o actuación posterior, no debería mantenerse en el canal con datos que permitan identificar a las personas implicadas.
La Ley 2/2023 establece que, en estos casos, la información solo puede conservarse de forma anónima. Esta regla es esencial para evitar que la empresa acumule registros internos con nombres, correos u otros datos personales de informantes, personas afectadas o terceros.
En otras palabras, el canal de denuncias debe conservar solo aquello que sea útil y jurídicamente defendible.
Protección de la identidad en el Canal de Denuncias
También hay que analizar quién accede a esa información. La Ley 2/2023 exige que los sistemas internos de información cuenten con medidas técnicas y organizativas adecuadas para preservar la identidad del informante y garantizar la confidencialidad de los datos de las personas afectadas y de cualquier tercero mencionado.
Por eso, la ley limita expresamente el acceso a los datos personales contenidos en el sistema interno de información. Solo pueden acceder, dentro de sus competencias y funciones, el Responsable del Sistema, quien lo gestione directamente y determinados perfiles cuando su intervención esté justificada.
Además, en ningún caso se comunicará a las personas afectadas la identidad del informante, ni se dará acceso a la comunicación en términos que permitan descubrirla. Solo puede comunicarse esa identidad a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.
