RGPD en investigaciones internas: tratar bien los datos de la denuncia

El RGPD (Reglamento (UE) 2016/679) no le impide investigar una denuncia — define cómo debe hacerlo. Trata los datos personales del denunciante, del denunciado y de posibles testigos sobre una base lícita (casi siempre el interés legítimo o una obligación legal), recoge solo lo que la investigación realmente necesita, mantiene confidencial la identidad del denunciante y suprime los datos cuando dejan de ser necesarios. Equivocarse aquí no es un tecnicismo: puede convertir una investigación legítima en una violación de datos en sí misma.

Conclusiones clave

• El RGPD permite las investigaciones internas — la base jurídica suele ser el interés legítimo (artículo 6.1.f) o una obligación legal (artículo 6.1.c), no el consentimiento del denunciado.
• El denunciado tiene derecho de acceso (artículo 15), pero este no le da derecho a conocer la identidad del denunciante — el artículo 16 de la Directiva (UE) 2019/1937 y el límite de los "derechos y libertades de terceros" protegen al informante.
• Puede posponer la información al denunciado sobre el tratamiento de sus datos cuando ello comprometa la investigación (artículo 14.5).
• Aplique la minimización de datos (artículo 5.1.c) y la limitación del plazo de conservación (artículo 5.1.e) — recoja solo datos pertinentes y suprímalos al cerrar el caso.
• Un canal de denuncias casi siempre requiere una Evaluación de Impacto relativa a la Protección de Datos (artículo 35) antes de su puesta en marcha.

La base jurídica es el interés legítimo — no el consentimiento

El primer error de los equipos de cumplimiento es tratar de basar una investigación en el consentimiento. No es posible: la persona investigada no va a consentir libremente ser investigada, y un consentimiento que no puede rechazarse libremente es inválido conforme al RGPD. En su lugar, el tratamiento se apoya en uno de dos fundamentos:

• Interés legítimo (artículo 6.1.f) — el interés genuino de la organización en detectar y prevenir irregularidades, ponderado frente a los derechos de las personas cuyos datos trata. Este juicio de ponderación debe documentarse antes de que el canal entre en funcionamiento.
• Obligación legal (artículo 6.1.c) — cuando una ley le obliga a actuar, como el deber de operar un canal de denuncias y dar seguimiento a las denuncias conforme a la Directiva (UE) 2019/1937, o las normas sectoriales sobre blanqueo de capitales y delincuencia financiera.

Si una denuncia afecta a categorías especiales de datos (salud, afiliación sindical, opiniones políticas, datos sobre infracciones penales), necesita una condición adicional conforme al artículo 9 o al artículo 10 — por ejemplo, que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones. Es precisamente este tipo de denuncia — acoso, discriminación — donde más se utilizan los canales.

El derecho de acceso del denunciado no anula la confidencialidad del informante

El conflicto más agudo en cualquier investigación es este: el denunciado también es un interesado y, conforme al artículo 15, puede solicitar acceso a los datos personales que usted conserva sobre él — incluido lo que se ha alegado. Gestionada ingenuamente, una solicitud de acceso se convierte en una forma de desenmascarar al denunciante.

No tiene por qué ser así. La confidencialidad de la identidad del informante está protegida por el artículo 16 de la Directiva (UE) 2019/1937, y el propio RGPD limita el derecho de acceso cuando afectaría negativamente a los "derechos y libertades de terceros". En la práctica, divulga al denunciado el fondo de la alegación cuando la equidad lo exige, pero oculta todo lo que identificaría al informante — nombres, función, fechas o detalles que solo una persona concreta podría conocer. Las transposiciones nacionales y las autoridades de protección de datos lo refuerzan: la identidad del denunciante no es algo que el denunciado tenga derecho a obtener mediante una solicitud de datos.

También puede posponer la información al denunciado de que se están tratando sus datos, conforme al artículo 14.5, cuando la notificación perjudicaría gravemente la investigación — por ejemplo, alertando al afectado antes de asegurar las pruebas. Se trata de un aplazamiento, no de una exención permanente: la obligación renace una vez desaparecido el riesgo.

Minimización y conservación: recoger y guardar solo lo necesario

Dos principios rigen el ciclo de vida de los datos de una investigación:

• Minimización de datos (artículo 5.1.c) — reúna solo datos adecuados, pertinentes y limitados a lo que la investigación requiere. Copiar en bloque todo el buzón de un empleado "por si acaso" es lo contrario de la minimización.
• Limitación del plazo de conservación (artículo 5.1.e) — conserve los datos solo el tiempo necesario. El artículo 18 de la Directiva (UE) 2019/1937 refuerza que los registros de las denuncias no se conservan más tiempo del necesario y proporcionado.

La regla práctica: las denuncias que resulten infundadas o manifiestamente irrelevantes deben suprimirse con prontitud, mientras que los casos acreditados se conservan durante el periodo necesario para la defensa frente a reclamaciones o para cumplir un deber legal de conservación — y después se suprimen. Un calendario de conservación definido y aplicado automáticamente es mucho más seguro que una supresión ad hoc.

Cuándo necesita una Evaluación de Impacto (EIPD)

Un canal de denuncias trata información sensible sobre personas identificables, de forma sistemática y a menudo en toda la plantilla. Ese perfil suele alcanzar el umbral del artículo 35 para una Evaluación de Impacto relativa a la Protección de Datos — un análisis documentado de los riesgos para las personas y de las medidas que los mitigan. La mayoría de las autoridades de protección de datos consideran la EIPD para un sistema de denuncias como esperable y no opcional, por lo que debe elaborarla antes del lanzamiento, no tras un incidente.

Es el mismo trabajo de base que necesita para el propio canal. Si aún está mapeando quién debe cumplir y los plazos legales aplicables, nuestra guía sobre la Directiva Europea de Protección de Informantes cubre las obligaciones que acompañan a estos deberes del RGPD.

Cómo Vaelo integra el cumplimiento del RGPD en cada investigación

Vaelo es una plataforma de denuncias alojada, diseñada en torno a la Directiva y al RGPD. La identidad del informante está protegida de principio a fin mediante mensajería anónima bidireccional, de modo que los investigadores pueden hacer preguntas de seguimiento sin desenmascarar nunca a la fuente. El acceso a cada caso es por roles y queda registrado, las pruebas están cifradas y las reglas de conservación configurables suprimen los datos en el plazo definido, de forma que la limitación del plazo de conservación se aplica automáticamente y no se deja a la memoria. El resultado es un flujo de investigación defendible ante ambas leyes a la vez — disponible en los 24 idiomas oficiales de la UE.

Preguntas frecuentes

¿Cuál es la base jurídica para tratar datos personales en una investigación interna? Casi siempre el interés legítimo de la organización (artículo 6.1.f del RGPD) o una obligación legal (artículo 6.1.c) — por ejemplo el deber de operar un canal conforme a la Directiva (UE) 2019/1937. Una investigación de denuncias no debe basarse en el consentimiento del denunciado.

¿Puede el denunciado acceder a la denuncia conforme al RGPD? Tiene derecho de acceso según el artículo 15 del RGPD, pero este no alcanza a revelar la identidad del informante. El artículo 16 de la Directiva (UE) 2019/1937 y el límite de los "derechos y libertades de terceros" permiten ocultar la información que lo identificaría.

¿Necesitamos una EIPD para un canal de denuncias? En la mayoría de los casos sí. Un sistema de denuncias trata datos sensibles sobre personas identificables, a menudo a gran escala, lo que suele alcanzar el umbral del artículo 35 del RGPD — por lo que se espera una Evaluación de Impacto relativa a la Protección de Datos antes de su puesta en marcha.

¿Cuánto tiempo podemos conservar los datos de una investigación interna conforme al RGPD? Solo el tiempo necesario y proporcionado (artículo 5.1.e del RGPD y artículo 18 de la Directiva (UE) 2019/1937). Los datos de denuncias que resulten infundadas o manifiestamente irrelevantes deben suprimirse con prontitud, no conservarse por defecto.