Anonimizar expediente de canal interno de denuncias para auditoría y formación – Anonimización conforme al RGPD según Ley 2/2023, de 20 de febrero, sobre protección de informantes arts. 1, 2, 7, 9; LOPDGDD (LO 3/2018) art. 24; RGPD arts. 5, 6(1)(c), 9
Los expedientes del canal interno de denuncias regulado por la Ley 2/2023 sobre protección de informantes y el art. 24 LOPDGDD contienen datos del denunciante (confidencial por ley), de los denunciados y de terceros. anonym.legal seudonimiza estos expedientes para auditoría interna del proceso y formación del gestor del canal, preservando la tipología de infracción y la estructura del procedimiento.
Cuándo se aplica
Aplica en auditorías internas que evalúan la correcta gestión del canal de denuncias conforme a la Ley 2/2023, en la formación de los gestores del canal sobre la tramitación de expedientes, y en revisiones de la adecuación de las medidas de protección del informante adoptadas. No aplica a comunicaciones a autoridades externas, que deben contener los datos reales.
Cómo lo gestiona anonym.legal
- Sube el expediente del canal de denuncias en PDF o DOCX a anonym.legal con el nivel de acceso más restringido.
- El motor identifica los datos del denunciante (si están incluidos en el expediente de auditoría), el nombre del denunciado, testigos, terceros mencionados y responsables del proceso.
- El denunciante, el denunciado y cada tercero reciben seudónimos distintos y consistentes.
- La tipología de infracción denunciada, las actuaciones de investigación realizadas, las medidas de protección al informante adoptadas y la resolución del expediente se conservan íntegros.
- Las referencias al número interno de expediente se seudonomizan.
- Se genera el mapa de reversión cifrado con doble restricción de acceso (responsable de cumplimiento y responsable de protección de datos).
- El expediente seudonimizado se distribuye exclusivamente al auditor interno o formador con habilitación específica para acceder a expedientes de denuncias.
Qué proporciona usted
- Expediente del canal de denuncias en PDF o DOCX (versión de auditoría, sin datos de identidad del denunciante si se mantiene el anonimato)
- Indicación del nivel de anonimato del informante en el expediente (anónimo, confidencial identificado)
- Resolución o acuerdo de cierre del expediente (si se incluye)
Limitaciones y precauciones
- La Ley 2/2023 art. 9 exige confidencialidad absoluta sobre la identidad del informante; bajo ninguna circunstancia debe incluirse el nombre real del informante en un expediente de auditoría o formación, incluso seudonimizado.
- El art. 24 LOPDGDD establece restricciones específicas sobre el acceso a los datos del denunciado antes de que se le comunique la denuncia; el expediente seudonimizado de auditoría debe respetar estas restricciones de acceso.
- anonym.legal no evalúa si el proceso de gestión del canal de denuncias cumple los requisitos de la Ley 2/2023; ese análisis corresponde al auditor interno o al asesor jurídico especializado.
- Los datos de categoría especial que puedan aparecer en la descripción de la infracción (p. ej., datos de salud, ideología) están sujetos al RGPD art. 9 y requieren seudonimización especialmente rigurosa.
Preguntas frecuentes
¿Puede incluirse la identidad del informante en el expediente de auditoría aunque esté seudonimizada?
No. La Ley 2/2023 art. 9 exige confidencialidad sobre la identidad del informante durante todo el proceso. En los expedientes de auditoría o formación no debe incluirse ningún dato que permita identificar al informante, ni siquiera en forma seudonimizada, a menos que el informante haya consentido expresamente su revelación.
¿Se conserva la tipología de infracción denunciada tras la seudonimización?
Sí. La tipología de infracción (blanqueo de capitales, abuso de mercado, fraude contable, incumplimiento de normas de cumplimiento), las actuaciones de investigación realizadas y la resolución del expediente se conservan como datos funcionales del proceso. Solo se seudonomizan los identificadores personales.
¿Quién puede acceder al expediente seudonimizado de auditoría del canal de denuncias?
El acceso debe limitarse a los auditores internos habilitados específicamente para revisar expedientes de denuncias. La Ley 2/2023 y el art. 24 LOPDGDD establecen restricciones estrictas de acceso que se aplican también a los expedientes seudonimizados.
¿Cómo se gestiona el mapa de reversión en expedientes de denuncias?
El mapa de reversión de expedientes de denuncias requiere doble restricción de acceso: el responsable de cumplimiento y el responsable de protección de datos deben autorizar conjuntamente cualquier reversión. Esta medida adicional protege la confidencialidad del informante en escenarios de acceso no autorizado al mapa.