¿Sirve un correo electrónico como canal de denuncias según la Ley 2/2023?

La respuesta corta: una dirección de correo electrónico puede ser un canal de denuncias conforme, pero la mayoría de los buzones no lo son, y en España la exigencia de admitir denuncias anónimas lo pone especialmente difícil. Ni la Ley 2/2023 ni la Directiva europea prohíben el correo electrónico: el art. 7.2 de la ley admite comunicaciones por escrito a través de medios electrónicos. Pero el art. 7.3 exige que los canales internos permitan presentar y tramitar comunicaciones anónimas, y el art. 5.2 exige un sistema diseñado y gestionado de forma segura, que garantice la confidencialidad de la identidad del informante. Una dirección propia, con una lista corta y controlada de personas que pueden abrirla, puede cubrir la confidencialidad. El anonimato, en cambio, depende de que el informante cree antes una cuenta aparte. Y un buzón etica@ compartido, que el departamento de informática puede abrir, que se archiva y que reenvía a quien lo configuró, no suele cumplir ni lo uno ni lo otro. En Italia, el regulador considera el correo ordinario inadecuado sin salvaguardas adicionales justificadas.

Si ya utiliza una dirección de correo, este artículo le ayuda a saber en qué punto está: qué exige el derecho, cómo se traduce país por país, una comprobación para su propio buzón con una solución para cada carencia, las carencias que ningún ajuste resuelve y qué cambia con un canal dedicado.

Qué exige el derecho a un canal

La Directiva (Directiva (UE) 2019/1937) no impone ninguna tecnología: describe resultados. Para un canal interno, los que importan en el caso del correo electrónico son estos:

• Seguro desde el diseño (art. 9(1)(a)). El canal debe diseñarse, establecerse y gestionarse de forma segura, de modo que la identidad del informante y de los terceros mencionados en la denuncia sea confidencial y el personal no autorizado no tenga acceso. Es un criterio sobre el sistema, no sobre el cuidado de las personas que lo usan.
• Identidad limitada a quienes tramitan (art. 16). La identidad del informante no puede revelarse sin su consentimiento expreso a nadie más que al personal autorizado para recibir denuncias o hacer su seguimiento.
• Plazos (art. 9(1)(b) y (f)). Acuse de recibo en 7 días, retroalimentación en 3 meses. Véase el plazo de 7 días / 3 meses para dar retroalimentación, explicado.
• Una persona designada e imparcial (art. 9(1)(c)). Alguien concreto es responsable del seguimiento.
• Registro (art. 18). Cada denuncia recibida se registra, con las mismas reglas de confidencialidad, y no se conserva más tiempo del necesario.
• Por escrito, verbalmente o ambos (art. 9(2)). La Directiva permite que el canal acepte denuncias por escrito, verbalmente o de ambas formas, y la Ley 2/2023 hace lo mismo (art. 7.2). Algunas leyes nacionales exigen las dos, así que un buzón solo escrito no siempre basta por sí solo.
• El anonimato lo decide cada Estado (art. 6(2)). La Directiva deja a cada Estado miembro decidir si las empresas deben aceptar denuncias anónimas. España ha decidido que sí.

Nada de esta lista descarta el correo electrónico. Pero todo tiene que cumplirse en el buzón, en sus copias de seguridad y en todas las personas que pueden acceder a él.

País por país

Las guías por país tratan cada ley con más detalle: España, Alemania, Francia, Italia, Países Bajos, Polonia e Irlanda.

Cuándo una dirección de correo es una opción razonable

• Su organización no está obligada a tener un canal. Por debajo de 50 trabajadores en la mayoría de los países de la UE, o en el Reino Unido, una dirección de correo bien gestionada es mejor que nada.
• Como una vía más dentro del Sistema interno de información, no como la única. En España, el art. 7.3 exige admitir comunicaciones anónimas, así que el correo necesita convivir con una vía que permita el anonimato sin que el informante tenga que crear una cuenta aparte.
• Como vía de recogida junto a un canal propiamente dicho. Algunos informantes escribirán a cualquier dirección que encuentren. Su política debe decir qué pasa con esos correos (véase «Dejar el buzón» más abajo).

El correo tiene además una ventaja real frente a un formulario web: funciona en los dos sentidos. Puede acusar recibo, hacer preguntas y dar respuesta, siempre que el informante esté dispuesto a recibir mensajes en esa dirección.

Compruebe su propio buzón

Diez comprobaciones, en el orden en que circula una denuncia. Cada una indica cómo comprobarla y cómo corregirla con las herramientas que ya tiene. La mayoría requieren media hora con su administrador de correo. Si no puede responder a alguna, cuéntela como un «no».

1. La dirección no se usa para nada más.

   Comprobar: ¿contiene el buzón algo que no sean denuncias, como consultas de RR. HH., correo de proveedores o boletines?

   Corregir: cree una dirección nueva solo para denuncias. No reutilice rrhh@ ni un buzón compartido existente cuyo historial de accesos no pueda garantizar.

2. Solo los gestores designados pueden abrirlo, cada uno con su propio acceso.

   Comprobar: enumere a todas las personas con acceso total, delegación o permiso de «Enviar como» sobre el buzón. En Microsoft 365 está en la configuración de delegación del buzón en el Centro de administración de Exchange; en Google Workspace, en la delegación de correo de la cuenta. Pregunte si alguien comparte una contraseña.

   Corregir: retire a quien no sea gestor designado y dé a cada uno su propio acceso en lugar de una contraseña compartida. El art. 5.2 de la Ley 2/2023 exige un sistema que impida el acceso de personal no autorizado.

3. Ninguna copia sale del buzón.

   Comprobar: busque reenvíos configurados en el buzón, reglas de bandeja de entrada creadas por sus usuarios y reglas de flujo de correo o de enrutamiento de toda la organización que copien mensajes a otro sitio (reglas de transporte de Exchange, reglas de enrutamiento y de cumplimiento de Gmail). Revise también el registro en diario (journaling), que envía una copia de cada mensaje a un archivo.

   Corregir: desactive reenvíos y reglas de bandeja de entrada, y excluya la dirección de cualquier regla de registro en diario o de copia.

4. Sabe quién más puede entrar, y lo ha limitado todo lo posible.

   Comprobar: quien pueda restablecer la contraseña del buzón puede leerlo. También quien pueda lanzar una búsqueda de eDiscovery o de Google Vault, o restaurar una copia de seguridad. Anote quién tiene esos roles.

   Corregir: reduzca esos roles al menor número de personas posible, active alertas para los restablecimientos de contraseña y las búsquedas de eDiscovery sobre este buzón, y documente el acceso restante en su evaluación de impacto relativa a la protección de datos. Puede reducir esa lista, pero no eliminarla. Esa es la razón principal por la que el regulador italiano considera el correo ordinario inadecuado por sí solo.

5. Los acuses de recibo salen del canal, en un plazo de 7 días.

   Comprobar: ¿quién responde, desde qué dirección y en cuánto tiempo? Una respuesta desde la cuenta personal de un gestor lleva su nombre, y el hilo de la denuncia, a un segundo buzón.

   Corregir: responda solo desde la dirección dedicada. Una respuesta automática que confirme la recepción e indique cuándo esperar una respuesta cubre el acuse de recibo en siete días naturales del art. 9.2 de la Ley 2/2023, siempre que no diga nada sobre el contenido.

6. Los plazos se controlan fuera del buzón.

   Comprobar: para la última comunicación, ¿puede decir cuándo se acusó recibo y cuándo vence la respuesta?

   Corregir: lleve un control, por ejemplo una hoja de cálculo con el acceso igual de limitado, con la fecha de recepción, la del acuse de recibo y el vencimiento de la respuesta tres meses después (art. 9.2). Designe a la persona que lo revisa cada semana.

7. Cada comunicación consta en el libro-registro y tiene fecha de supresión.

   Comprobar: el art. 26 de la Ley 2/2023 exige un libro-registro de las informaciones recibidas y de las investigaciones internas. ¿Podría mostrarlo a la A.A.I. con lo que pasó con cada una? Al vencer su plazo, ¿desaparecería una denuncia también de archivos, copias de seguridad y directivas de retención?

   Corregir: añada al registro el resultado y una fecha de supresión. La ley fija un máximo de diez años, y dentro de ese techo los datos no deben conservarse más de lo necesario. Compruebe que ninguna directiva de retención guarda durante años los elementos eliminados de este buzón, y suprima según el calendario. Véase Elegir una política de conservación.

8. El informante puede denunciar de forma anónima, y conoce el riesgo de una cuenta de trabajo.

   Comprobar: el art. 7.3 exige que los canales internos permitan comunicaciones anónimas. ¿Cómo lo haría alguien en su buzón? ¿Explica su política que un correo enviado desde una cuenta de trabajo deja una copia en elementos enviados, en servidores que administra la empresa?

   Corregir: explíquelo, e indique que se puede escribir desde una dirección personal. Por correo, el anonimato depende de que el informante cree antes una cuenta aparte, así que ofrezca además una vía que permita denunciar de forma anónima sin ese paso. Véase Denuncia anónima o identificada.

9. Existe una vía verbal y una reunión si se solicita.

   Comprobar: ¿puede alguien denunciar sin escribir nada, y pedir una reunión presencial?

   Corregir: el art. 7.2 de la Ley 2/2023 prevé comunicaciones por escrito o verbalmente, o de ambos modos, y una reunión presencial a solicitud del informante. Publique un teléfono o un sistema de mensajería de voz junto a la dirección, e indique en su política cómo pedir la reunión. Véase Denuncias por voz y anonimización.

10. Las denuncias sobre los gestores van a otro sitio, y los accesos sobreviven a las bajas.

    Comprobar: si una denuncia afecta a alguien con acceso al buzón, ¿adónde llega? Cuando un gestor deja la empresa, ¿quién retira su acceso y comprueba que no queda ningún reenvío?

    Corregir: designe en su política un contacto alternativo, como un miembro de la dirección o un asesor externo, con su propia vía. Añada el buzón a su lista de comprobación de bajas y repita las comprobaciones 2 a 4 cada trimestre.

Lo que ningún ajuste puede resolver

Algunas carencias se deben a cómo funciona el correo, no a cómo está configurado su buzón:

• Siempre hay alguien que puede entrar. Por mucho que limite el acceso, un administrador puede restablecer la contraseña o buscar en el buzón. El canal queda reservado al personal autorizado por una norma, no por su diseño.
• El anonimato le cuesta esfuerzo al informante. Denunciar de forma anónima exige crear antes una cuenta aparte, y el mensaje sigue llevando cabeceras y metadatos. En España, eso es una respuesta débil a la exigencia del art. 7.3.
• La copia del informante. Una denuncia enviada desde una cuenta de trabajo deja en sus servidores un rastro que no puede borrar sin entrar en su buzón.
• El registro vive fuera del canal. El libro-registro, los plazos y la pista de auditoría son una hoja de cálculo aparte que hay que mantener a mano. Si una autoridad o un tribunal pregunta qué pasó y cuándo, «aquí están los correos y aquí nuestra hoja de cálculo» es una respuesta más débil que un registro con fecha y hora de cada actuación. Véase Registro de auditoría: mantener un registro defendible.

Lo que exige mantener un buzón

Si se cumplen todas las comprobaciones anteriores, tiene una vía que puede cumplir. Mantenerla así exige trabajo continuo:

• una revisión de accesos cada trimestre, y después de cada baja o cambio informático
• un libro-registro actualizado a mano para cada comunicación y contrastado con los plazos cada semana
• una vía aparte que permita el anonimato
• un teléfono o mensajería de voz aparte, con sus propios límites de acceso
• supresiones según el calendario, en el buzón, el registro, los archivos y las copias de seguridad
• una evaluación de impacto que explique los accesos que no pudo eliminar

Nada de esto es difícil, pero todo depende de que alguien se acuerde.

Por qué las empresas se pasan a Provoxis

Provoxis está hecho para esta tarea, así que la mayoría de las comprobaciones anteriores ya están resueltas antes de que llegue su primera denuncia:

Sin revisiones trimestrales de accesos en el sistema de correo, sin hoja de cálculo que mantener y sin nada que reconstruir cuando un gestor se va. La puesta en marcha es autónoma con una lista de comprobación guiada, el precio es una cuota mensual fija (véase precios) y hay una prueba gratuita de 30 días.

Dejar el buzón

1. Publique el nuevo canal en todos los sitios donde aparecía la dirección de correo: web, política, manual del empleado y documentación para proveedores.
2. Mantenga la dirección antigua un tiempo, con una respuesta automática que remita a la nueva página de denuncias. Habrá quien siga usándola.
3. Para las denuncias que sigan llegando por correo, hay dos opciones. Responda desde la dirección dedicada pidiendo al informante que presente la denuncia en la página de denuncias, para que obtenga su propia referencia del caso. O, si prefiere no hacerlo, presente la denuncia en su nombre, indique en ella que llegó por correo y envíele la referencia del caso solo a él, para que pueda seguir el caso desde allí.
4. Ocúpese de lo que queda en el buzón. Termine los casos abiertos donde están, o páselos de la misma manera. Suprima el resto al vencer su plazo de conservación y después dé de baja el buzón.

Fundamento jurídico

• Ley 2/2023, art. 5.2, 7.2 y 7.3 (BOE) — sistema diseñado y gestionado de forma segura; comunicaciones por escrito, por medios electrónicos, o verbalmente, y reunión presencial a solicitud del informante; admisión de comunicaciones anónimas.
• Ley 2/2023, art. 9.2 y 26 — acuse de recibo en siete días naturales y respuesta en un máximo de tres meses; libro-registro de las informaciones recibidas, con un máximo de diez años de conservación.
• Art. 6(2), art. 9(1)(a)–(f), art. 9(2), art. 16, art. 18, Directiva (UE) 2019/1937 — anonimato a decisión de cada Estado; diseño seguro y acceso solo para el personal autorizado; plazos; persona designada; denuncia por escrito, verbal o ambas; confidencialidad de la identidad; registro.
• § 16 HinSchG — acceso solo para las personas competentes; denuncia verbal o escrita, y reunión si se solicita. La exposición de motivos (BT-Drs. 20/3442, p. 81) confirma que basta con una de las dos formas.
• Décret n° 2022-1284, art. 4 y 6 (Légifrance) — denuncia por escrito o verbal; integridad, confidencialidad y prohibición de acceso al personal no autorizado.
• D.Lgs. 24/2023, art. 4, y directrices ANAC 1/2025 sobre canales internos, resolución n.º 478 de 26 de noviembre de 2025 (ANAC) — confidencialidad también mediante cifrado; vías escrita y verbal garantizadas (apartado 2.2); correo ordinario y PEC no adecuados en sí mismos sin contramedidas justificadas.
• Wet bescherming klokkenluiders, art. 2 (wetten.overheid.nl) — denuncia escrita y verbal, y reunión si se solicita.
• Ley polaca de protección de los informantes de 14 de junio de 2024, art. 25–27 — contenido del procedimiento; denuncia verbal y escrita (también electrónica); sin acceso para personas no autorizadas.
• Protected Disclosures Act 2014 (Irlanda), s.5A y s.6A (versión consolidada) — denuncias anónimas; canales internos seguros y confidenciales.