Qué exige realmente un canal conforme

Antes del plazo, hay una exigencia de diseño

La mayor parte de lo que se comenta sobre el lado procedimental de la Directiva es el plazo de 7 días / 3 meses — véase el plazo de 7 días / 3 meses para dar retroalimentación, explicado. Eso es el art. 9(1)(b) y (f). Pero el art. 9(1) empieza con una exigencia anterior a todo eso: el propio canal tiene que estar construido de una forma concreta. Un canal que cumple todos los plazos a la perfección pero que nunca se diseñó de forma segura en primer lugar no ha satisfecho realmente el art. 9 — simplemente ha tenido suerte hasta ahora.

El canal tiene que ser seguro por diseño, no seguro por accidente

El art. 9(1)(a) exige que los canales de denuncia estén "diseñados, establecidos y gestionados de una forma segura que garantice que la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la denuncia esté protegida." Es una exigencia sobre la construcción del canal, no solo sobre sus resultados — una empresa no puede señalar el hecho de que todavía no ha habido ninguna filtración como prueba de que esta exigencia se satisface. Tiene que ser cierto sobre cómo se construyó el canal, antes de que llegue ninguna denuncia.

En la práctica, aquí es exactamente donde un buzón compartido o un sistema de tickets genérico tienden a fallar — no hay ninguna lista de acceso enumerable en absoluto. Cualquiera con las credenciales compartidas, o en una regla de reenvío que nadie recuerda haber configurado, puede leer cada caso; seis meses después, suele ser genuinamente incierto quién tiene acceso realmente. El acceso de un canal específicamente diseñado es un conjunto definido de cuentas de personal designadas y autenticadas dentro de la propia cuenta de su empresa — no un alias de correo que ha acumulado reenvíos durante años. Véase «¿Sirve un correo electrónico como canal de denuncias según la Ley 2/2023?» para lo que esa brecha implica realmente en cuanto una denuncia está activa.

Por escrito, verbal o ambas, y a menudo decide el derecho nacional

El art. 9(2) permite que el canal acepte denuncias por escrito, verbalmente o de ambas formas. Cuando admite denuncias verbales, deben ser posibles "por vía telefónica o a través de otros sistemas de mensajería de voz" y, si el informante lo solicita, en una reunión presencial en un plazo razonable. Así que la Directiva, por sí sola, no convierte en no conforme un canal solo de texto.

El derecho nacional a menudo va más allá. La Wbk neerlandesa exige vías escrita y verbal y una reunión si se solicita. El regulador italiano, ANAC, exige a las empresas garantizar ambas formas. La Ley 2/2023 española, en cambio, permite elegir entre escrito, verbal o ambos (art. 7.2), igual que Francia; y Alemania, según la exposición de motivos del HinSchG, se conforma con una de las dos formas, aunque exige igualmente una reunión presencial si se solicita. Compruebe las reglas de su país antes de decidirse por un canal solo escrito. Y aunque sea opcional, una vía verbal importa en la práctica: hay personas que nunca pondrán una preocupación por escrito. Véase denuncias por voz y anonimización, explicadas de forma sencilla para ver cómo funciona el propio canal de voz de Provoxis.

Configurar el canal es en sí mismo un paso de consulta, no una decisión unilateral

El art. 8(1) exige a los Estados miembros garantizar que los canales internos se establezcan "previa consulta a los interlocutores sociales y de acuerdo con ellos cuando así lo establezca el Derecho nacional" — en términos sencillos, un empleador generalmente no puede simplemente decidir de forma unilateral cómo funcionará el canal y ponerlo en marcha. Qué órgano concreto hay que consultar, y cuánta capacidad de decisión tiene realmente, se deja a la transposición de cada Estado miembro — véase, por ejemplo, la cogestión del comité de empresa en Alemania o la exigencia de consulta al CSE en Francia para cómo es esto concretamente en cada país. Sin embargo, la exigencia de consultar a alguien no es una peculiaridad nacional — es el propio mínimo de la Directiva; solo el mecanismo varía según el país.

Gestionarlo usted mismo o cederlo a un tercero — ambas opciones están permitidas

El art. 8(5) permite explícitamente operar el canal internamente, a través de una persona o departamento designado al efecto, o externamente, a través de un proveedor tercero — siempre que se apliquen las mismas garantías del art. 9 en cualquiera de los dos casos. Externalizar el canal no rebaja el listón; solo traslada quién es responsable de superarlo.

El sector público también está cubierto

El art. 8(9) extiende la misma obligación a las entidades jurídicas del sector público, no solo a las empresas privadas — con una opción incorporada para los Estados miembros: pueden eximir de la exigencia a los municipios de menos de 10.000 habitantes, o con menos de 50 trabajadores, y pueden permitir que varios municipios compartan un canal. Donde la guía de un país menciona un umbral o una excepción del sector público — la de Francia, por ejemplo — esa es esta disposición ejercida a nivel nacional, no una norma nacional sin relación.

Fundamento jurídico

• Art. 9(1)(a), Directiva (UE) 2019/1937 — la exigencia de diseño seguro que protege la confidencialidad de la identidad de un informante.
• Art. 9(2) — denuncia por escrito, verbal o de ambas formas; la verbal por teléfono o mensajería de voz, y una reunión presencial a petición.
• Art. 8(1) — el establecimiento del canal previa consulta a los interlocutores sociales, cuando así lo establezca el derecho nacional.
• Art. 8(5) — la opción entre operar el canal internamente o a través de un proveedor tercero.
• Art. 8(9) — la obligación del sector público, y la opción de los Estados miembros de eximir a los municipios pequeños.