Ashio whistleblowing software

Oct 12, 2026

Cadena de custodia de una grabación de voz en una denuncia interna: qué sirve ante un juez y qué no

Cadena de custodia de una grabación de voz en una denuncia interna: qué sirve ante un juez y qué no

Una grabación de voz sobre acoso o fraude puede ser la prueba central de un caso. Pero si no se custodia bien, el abogado de la otra parte la tira en cinco minutos. Aquí está el protocolo que un juez realmente acepta cuando se trabaja la cadena de custodia de una grabación de voz en una denuncia interna: desde el hash original hasta la transcripción firmada, pasando por quién tocó el archivo y cuándo.

Índice

Puntos clave

  • Un juez no descarta una grabación hecha por el denunciante: descarta la cadena de custodia de esa grabación si no se demuestra quién la tuvo, cuándo y cómo.
  • La integridad del audio se demuestra con un hash SHA-256 calculado en el momento de la recepción, antes de cualquier copia operativa.
  • Transcribir sin audiólogo forense ni declaración de autenticidad convierte el audio en un "documento informal" que la parte contraria puede impugnar fácilmente.
  • El registro de accesos inmutable, con fecha, hora, usuario y motivo, vale más ante el juez que el propio contenido de la grabación.
  • La Directiva UE 2019/1937 fija un acuse de recibo en 7 días y una respuesta en 3 meses, lo que condiciona todo el calendario de conservación de la prueba.

Por qué la voz cambia las reglas del juego en una denuncia

La voz es la prueba más frágil y a la vez más concluyente que llega a un canal de denuncias. Es frágil porque se puede editar, comprimir y volver a grabar con apenas un clic. Es concluyente porque, si el perito la autentica, el autor no puede negar lo que dijo en su propio tono.

Por eso el problema nunca es si el audio "vale", sino si el expediente demuestra que ese audio concreto, sin alterar, llegó tal cual desde el dispositivo del denunciante hasta la mesa del juez. Cualquier eslabón débil —una copia sin hash, una transcripción sin firma, un acceso sin justificar— es el lugar donde la otra parte clava el diente.

¿Una grabación hecha por el denunciante vale como prueba?

Sí, pero solo si el denunciante la hizo formando parte del contexto de la conversación y la conserva en formato original, sin editar. La jurisprudencia española y europea admite grabaciones de terceros cuando quien grabó fue uno de los interlocutores, no un espía externo, y cuando el contenido revela un hecho ilícito —acoso, fraude, incumplimiento—, nunca una conversación íntima sin esa relevancia.

El problema no es tanto la grabación como lo que le pasa después. Si la transformación, copia o transcripción rompe el vínculo con el original, lo que llega al juicio es un archivo sin padre conocido.

Para que se sostenga, la grabación de voz en una denuncia interna necesita tres cosas antes de pasar por cualquier herramienta:

  • Original sin recomprimir, con metadatos del dispositivo (modelo, fecha, hora, tamaño, duración).
  • Hash SHA-256 calculado al recibir el archivo, antes de cualquier copia operativa.
  • Identificación clara del denunciante o, si la denuncia es anónima, del canal y del dispositivo que sirvió de entrada.

De la grabación al expediente: hash, cifrado y metadatos

La cadena de custodia empieza en el momento exacto en que el archivo entra en el sistema de denuncias, no cuando el caso se asigna a un investigador. Lo correcto es calcular el hash en el navegador del denunciante, antes de subirlo, y repetirlo al recibirlo: si ambos coinciden, la integridad está demostrada.

Si se calcula el hash después, sobre una copia ya manipulada, la prueba nace herida y cualquier perito lo detectará.

El cifrado protege la confidencialidad, pero no sustituye a la cadena de custodia: un archivo cifrado y manipulado sigue siendo manipulado, solo que más difícil de abrir. Lo que aporta el cifrado es un argumento más: que ni el operador del canal ni nadie fuera del expediente legítimo ha podido tocar el contenido.

Si además el sistema se ejecuta en una arquitectura de acceso cero donde ni el propio proveedor puede descifrar los cuerpos de denuncia, como la que se describe en la documentación de seguridad y cumplimiento RGPD, la confidencialidad se demuestra por construcción y no por promesa.

Los metadatos técnicos —codec, frecuencia de muestreo, tasa de bits, aplicación de grabación, identificador del dispositivo— son la otra mitad que muchos despachos olvidan. Un audio sin estos datos es como un documento sin fecha: formalmente presente, materialmente inservible.

La transcripción se usa a menudo como sustituto del audio, porque leer es más rápido que escuchar y porque la búsqueda por palabras funciona mejor sobre texto. Pero ahí empieza un riesgo serio: una transcripción no firmada, sin declaración de autenticidad, vale como referencia interna y poco más.

Si la otra parte la impugna, el juez necesita un perito que certifique que el texto corresponde literalmente a lo que se dice en el audio, sin omisiones ni añadidos.

La validez jurídica de la transcripción de voz en un canal de denuncias depende de tres condiciones:

  • Quien transcribe declara su método, su cualificación y la fecha.
  • El texto se firma y se ancla al hash del audio original, de modo que cualquier modificación del texto invalida la cadena.
  • La transcripción se entrega junto al audio, no en lugar del audio.

Hay una diferencia práctica entre transcribir dentro del propio dispositivo del denunciante, donde la conversión de voz a texto ocurre antes de que el audio salga del teléfono, y transcribir en el servidor del canal. La primera opción deja solo el texto y destruye el audio original, lo que elimina la posibilidad de pericia futura. La segunda conserva ambos y permite rehacer la transcripción si hace falta.

La elección no es técnica: es una decisión legal que hay que documentar en la política interna.

Quién accede, quién firma y dónde queda cada acceso

El registro de accesos vale más que el archivo mismo. Un juez no necesita escuchar la grabación para decidir sobre el caso: necesita saber quién la escuchó, cuándo y por qué.

Si el sistema solo guarda "Caso abierto el 12 de junio", no sirve. Si guarda "Acceso de M. R., responsable de cumplimiento, a la pista 1, el 12 de junio a las 10:14, motivo: revisión inicial del caso", sí.

Un buen registro de auditoría tiene estas propiedades:

  • Inmutable, es decir, append-only: cada fila nueva se añade, ninguna se modifica ni se borra.
  • Con sello temporal fiable, idealmente sincronizado con una fuente de tiempo externo.
  • Vinculado a una identidad autenticada, no a un usuario compartido.
  • Exportable en formatos estándar para entregárselo al perito o al juzgado sin tener que entregar la base de datos entera.

En el momento en que alguien exporta la grabación para enviarla al perito, ese paso también se firma: con su hash, su destinatario y su fecha. La cadena de custodia termina donde el archivo deja de estar controlado por la organización, y ese punto hay que dejarlo escrito dentro del propio registro.

Diferencia entre guardar el audio y transcribirlo en el dispositivo

Diferencia entre guardar el audio y transcribirlo en el dispositivo Esta distinción cambia las obligaciones legales, aunque a primera vista parezca solo una decisión técnica. Cuando el audio se transcribe en el dispositivo del denunciante y el archivo de sonido nunca se sube, la organización solo custodia un texto derivado y pierde la posibilidad de hacer una pericia fonética posterior. Cuando el audio se sube íntegro al canal y se transcribe en el servidor, la custodia recae sobre el archivo original y se conserva toda la riqueza probatoria.

Quien trabaja con evidencia digital en una denuncia anónima debe plantearse tres preguntas antes de implementar nada:

  • ¿Vamos a poder entregar el audio original en caso de pericia, o solo el texto?
  • ¿Qué herramienta usamos para la conversión de voz a texto y quién certifica su fiabilidad?
  • ¿Dónde y cómo se almacenan los modelos de lenguaje si se usan para mejorar la transcripción?

Para una pyme de 10 a 250 empleados, montar todo esto a mano es caro y arriesgado. La vía razonable es apoyarse en un canal de denuncias que haga la conversión en el dispositivo del denunciante o conserve el audio cifrado, sin perder de vista que el custodio real de la prueba sigue siendo la empresa, no la herramienta.

En la práctica, muchos equipos pequeños que necesitan cumplir la Directiva UE 2019/1937 y la Ley 2/2023 recurren a canales listos que cubren las dos modalidades, como ashio, que transcribe el audio en el propio dispositivo y nunca lo guarda, y que aplica cifrado de extremo a extremo y registro de auditoría inmutable a los mensajes y metadatos del caso, y pueden probarse durante los 14 días de prueba gratuita indicados en la página de precios antes de dar de alta una cuenta. No es para organizaciones con políticas de retención a medida ni para investigaciones internas con cadena de custodia notarial externa: ahí sigue haciendo falta un perito y un notario.

Caso real: cómo se rompió una cadena de custodia en 2024

En 2024, una denuncia interna por acoso en una empresa industrial española incluía una grabación de unos cuatro minutos donde un mando intermedio amenazaba a una empleada. La grabación se recibió por correo electrónico corporativo, sin hash, y se transcribió en un documento de Word que se reenvió al comité de igualdad.

Cuando el caso llegó al juzgado, el abogado de la defensa pidió la entrega del "archivo original". La empresa entregó el MP3 adjunto al correo, pero no pudo acreditar que ese MP3 fuera exactamente el mismo que se escuchó la primera vez: no había hash, no había log de accesos y el archivo había sido renombrado dos veces.

El juez, en una resolución que recoge la línea habitual de la jurisdicción social, declaró la grabación indemostrada como prueba pericial: no porque el audio fuese falso, sino porque la empresa no pudo probar que nadie lo había manipulado en el camino entre el correo y el juicio. La transcripción se usó solo como indicio leve, no como prueba, y el caso se resolvió sin que el audio pesara en la decisión.

La lección es clara: la prueba se rompe en los gestos pequeños, no en el momento del juicio. Quien conserva la grabación sin un protocolo definido, está cediendo ventaja al abogado de la otra parte.

Checklist mínima para tu política interna

Una política interna de cadena de custodia debe responder, como mínimo, a estas preguntas. Cualquier "no lo sé" o "ya se verá" es exactamente el hueco que la otra parte explotará.

  • ¿Cómo se calcula el hash del audio y cuándo, antes o después del cifrado?
  • ¿Quién tiene acceso al audio original y bajo qué motivo queda registrado?
  • ¿Cada cuánto se hace una copia de seguridad inmutable del expediente?
  • ¿Qué cualificación exige la empresa a quien transcribe el audio?
  • ¿Se conserva el archivo original junto a la transcripción, o solo el texto?
  • ¿Cómo se exporta el registro de auditoría para entregarlo al juzgado?
  • ¿Qué pasa cuando vence el plazo de conservación: quién borra qué y dónde queda el log?
  • ¿Quién firma la política, quién la revisa y con qué periodicidad?

Esa política no necesita ser un documento de cien páginas: necesita cubrir estos ocho puntos con nombre, fecha y firma. El resto se construye sobre esa base.

Preguntas frecuentes

¿Quién custodia la grabación una vez entra en el canal de denuncias?

La custodia recae sobre la organización, no sobre el proveedor del canal, porque ella es la responsable del tratamiento a efectos del RGPD y la única que responde ante el juzgado. El proveedor aporta las garantías técnicas —cifrado, registro inmutable, alojamiento certificado—, pero la decisión de conservar, borrar o entregar la prueba la firma siempre la empresa.

No. Una carpeta compartida no demuestra integridad, no registra accesos y no se puede exportar como prueba pericial. Para conservar una grabación de denuncia hacen falta, como mínimo, hash en el momento de recepción, registro de accesos inmutable y exportación auditable; cualquier solución por debajo de eso convierte la prueba en un documento informal.

¿La transcripción automática vale como pericia?

No por sí sola. La transcripción automática aporta velocidad y búsqueda, pero la pericia fonética exige un perito que certifique la correspondencia entre audio y texto y descarte manipulaciones. Lo razonable es usar la transcripción automática como apoyo interno y reservar la pericial para el momento procesal en que la otra parte la exija.

¿Durante cuánto tiempo hay que conservar la grabación?

Depende del caso y del marco aplicable: la Directiva UE 2019/1937 obliga a conservar el expediente mientras el procedimiento esté abierto, y la Ley 2/2023 y el RGPD imponen plazos propios una vez resuelto. Una política interna sensata define una conservación mínima —habitualmente hasta que prescriban las acciones legales derivadas— y documenta el borrado cuando termina, sin saltarse el registro.

Fuentes