Denuncias por voz y anonimización, explicadas de forma sencilla

Por qué ofrecer la denuncia verbal

El artículo 9(2) de la Directiva permite a los canales internos recibir denuncias por escrito, verbalmente o de ambas formas, y cuando un canal admite denuncias verbales, deben ser posibles "por vía telefónica o a través de otros sistemas de mensajería de voz." Varias leyes nacionales hacen obligatoria la vía verbal: los Países Bajos la exigen, y el regulador italiano, ANAC, espera denuncias escritas y verbales. Incluso donde es opcional, hay personas que dirán lo que nunca escribirían. Sea cual sea la vía que use (una línea telefónica atendida, un buzón de voz, una grabación en el navegador), el objetivo es el mismo: un informante tiene que poder dar su relato en voz alta, no solo escribirlo.

La decisión a la que se enfrenta realmente cualquier operador de canal

Admitir la denuncia por voz no es solo "activar un micrófono". Una grabación de voz en bruto es en sí misma un dato identificativo — el art. 4(14) del RGPD define los datos biométricos como datos personales derivados de un tratamiento de características físicas o de comportamiento capaz de identificar a una persona, y una voz encaja exactamente ahí. Cualquiera que ofrezca denuncia por voz tiene que decidir qué ocurre con la grabación, y los enfoques habituales implican contrapartidas entre sí:

• Conservar el audio en bruto. La opción más sencilla, y la más habitual por defecto — pero también la mayor brecha de privacidad. Una grabación en bruto guardada es algo que podría identificar al informante solo por la voz, durante todo el tiempo que se conserve, se le adjunte o no un nombre a la denuncia en otro lugar.
• Transcribirla y descartar el audio. Esto elimina la voz en sí como señal identificativa, pero pierde el tono, las dudas y el énfasis que pueden importar para entender realmente un relato — y suele introducir a un transcriptor humano (interno o un servicio externo) que escucha la grabación en bruto al menos una vez antes de convertirla.
• Anonimizar el propio audio. Más complejo técnicamente que cualquiera de las dos opciones anteriores, pero es la única que conserva la grabación — tono, pausas, énfasis y todo — mientras rompe el vínculo con quién habla. Este es el enfoque que sigue Provoxis.

Cada grabación se anonimiza — no solo las anónimas

El detalle que sorprende a la gente cuando esto se hace bien: la anonimización de voz no debería depender de si el informante eligió denunciar de forma anónima o con su nombre. El razonamiento trata sobre la grabación en sí, no sobre la preferencia declarada del informante — la voz en bruto de un informante identificado, guardada durante años, sigue siendo algo que más adelante podría usarse para identificarlo solo a partir de la grabación, independientemente de si su nombre está adjunto a la denuncia en otro lugar. Provoxis somete cada grabación al mismo proceso, de forma incondicional, sea cual sea la manera en que el informante haya elegido enviarla.

Cómo funciona realmente el cambio de Provoxis

Provoxis procesa cada grabación con herramientas de procesamiento de señal establecidas y de código abierto, ejecutadas internamente en lugar de a través de una API de un tercero. A cada grabación le ocurren tres cosas, de forma deliberada:

• El tono se desplaza en una cantidad aleatoria, no según un factor fijo único. Un desplazamiento constante sería en sí mismo un riesgo: si esa única transformación llegara a conocerse, aplicar su inversa recuperaría algo cercano a la voz original. Aleatorizarlo por grabación cierra esa vía.
• Los formantes se desplazan, no se preservan. Los formantes son las resonancias del tracto vocal específico de cada persona — la parte de una voz que identifica quién habla, por separado del tono. Desplazar solo el tono y dejar los formantes intactos seguiría sonando reconociblemente como la misma persona; desplazar ambos es lo que realmente rompe la reidentificación.
• El tempo se deja intacto. Remuestrear el audio de forma ingenua para cambiar el tono también cambia la velocidad, lo cual es tanto una pista delatora como un problema de accesibilidad. El tono y los formantes se desplazan sin acelerar ni ralentizar la grabación.

Qué ocurre con la grabación original

La subida en bruto se conserva solo de forma transitoria — en almacenamiento temporal durante el proceso de anonimización — y se elimina en cuanto la versión anonimizada queda guardada de forma segura. Nunca se escribe en el registro permanente del caso, y ningún rol, incluido el personal de Provoxis, puede acceder a ella una vez completado el procesamiento. Si el proceso falla, el archivo en bruto igualmente se elimina en cuanto se agotan los reintentos, en lugar de quedar guardado indefinidamente. La grabación anonimizada es la única versión que alguien — gestor o informante — llega a escuchar.

Como la anonimización ocurre internamente en lugar de a través de una API de procesamiento de voz de un tercero, tampoco añade un subencargado a su acuerdo de tratamiento de datos — un proveedor menos que el propio DPO de una empresa tenga que rastrear y declarar, y un lugar menos donde una grabación en bruto podría acabar fuera de su propio control.

Fundamento jurídico

• Art. 9(2), Directiva (UE) 2019/1937 — denuncia por escrito, verbal o de ambas formas; la verbal por vía telefónica o a través de otros sistemas de mensajería de voz.
• Art. 4(14), RGPD — la definición de datos biométricos como datos personales derivados de un tratamiento de características físicas o de comportamiento capaz de identificar a una persona, en la que puede encajar una grabación de voz en bruto y sin desplazar.