Canal interno de información: quién debe tenerlo y qué debe proteger

No toda obligación depende de tener cincuenta trabajadores

La Ley 2/2023 obliga, con carácter general, a las entidades privadas con cincuenta o más trabajadores a disponer de un sistema interno de información. También contempla entidades obligadas con independencia de ese tamaño por su actividad o normativa específica. El sector público tiene su propio régimen.

Para determinar si una organización está incluida, revisa plantilla, estructura y sector. No utilices una fotografía informal del personal de un día como único criterio ni presupongas que externalizar el canal elimina la responsabilidad de la entidad.

Un sistema necesita más que una dirección de correo

Debe existir una política, un procedimiento, responsables y garantías de confidencialidad. La ley contempla la presentación de comunicaciones anónimas y regula el tratamiento de la información. El sistema no puede diseñarse de forma que cualquiera de la organización acceda a las denuncias o a la identidad del informante.

Define quién recibe, quién investiga y cómo se gestionan conflictos de interés. Una persona mencionada en los hechos no debería controlar sin más la tramitación de esa misma comunicación. La protección frente a represalias debe traducirse en decisiones organizativas, no solo en una frase en la web.

Distinguir su finalidad

No toda queja sobre un producto, una disputa de vacaciones o una denuncia comercial entra automáticamente en el ámbito de protección de esta ley. Es necesario valorar los hechos y las materias del artículo 2, sin descartar de forma precipitada una comunicación por el nombre que le ha dado quien informa.

Los plazos de acuse y respuesta deben configurarse según el canal y procedimiento aplicables. No copies los plazos de la autoridad externa como si fueran los del sistema interno.

Revisar privacidad y conservación

Limita accesos, registra actuaciones y establece criterios de conservación y eliminación. Evita solicitar documentos o datos personales que no sean pertinentes. El encargado tecnológico y los posibles prestadores externos requieren una revisión contractual y de seguridad.

Antes de poner el sistema en marcha, prueba con datos ficticios la recepción, la comunicación segura y la gestión de una incidencia. La prueba no certifica por sí sola el cumplimiento, pero permite descubrir fallos antes de recibir información real.