Ashio whistleblowing software

Oct 1, 2026

Cómo migrar de un buzón de correo a un canal de denuncias conforme: plan paso a paso en 30 días

Cómo migrar de un buzón de correo a un canal de denuncias conforme: plan paso a paso en 30 días

Si tu empresa lleva meses gestionando denuncias a través de un buzón compartido o una hoja de cálculo, no estás solo: es la situación más común en PYMEs españolas que han aplazado la puesta en marcha del canal formal. El problema es que ese sistema improvisado genera tres riesgos muy concretos: casos que se pierden entre hilos de correo, plazos de acuse de recibo de 7 días incumplidos por despiste, y cero trazabilidad ante un auditor. Migrar de email a canal de denuncias no es solo cambiar de herramienta: es reconstruir el proceso con criterios de la Directiva UE sobre denunciantes y de la Ley 2/2023 sin perder los casos abiertos. Esta guía es el plan que recomendamos a equipos de RRHH y compliance para hacer el salto en 30 días, sin interrumpir la operativa y dejando todo listo para la próxima auditoría.

Índice

Puntos clave

  • Antes de migrar de email a canal de denuncias necesitas un diagnóstico escrito de cuántos casos recibes, por qué canales entran y quién los ve hoy: sin esa foto, no sabes qué estás migrando.
  • El correo compartido y el Excel no cumplen obligaciones concretas de la Ley 2/2023: acuse de recibo en 7 días, seguimiento en 3 meses, registro de actividad inmutable y trazabilidad del denunciante anónimo.
  • La migración se planifica en 4 semanas: diagnóstico, elección del software, configuración, y traspaso de casos abiertos con cadena de custodia intacta.
  • Los casos que ya están vivos en el buzón antiguo se tratan aparte: se vuelcan al nuevo sistema con sello temporal y se deja una copia firmada en el archivo histórico, sin reasignar a un responsable nuevo a mitad de investigación.
  • La migración se mide con indicadores claros: porcentaje de denuncias con acuse de recibo dentro de plazo, número de días para cierre y tasa de adopción por parte de empleados.

Diagnóstico: cuántas denuncias recibes, por dónde entran y quién las ve hoy (la foto real antes de migrar)

La migración empieza siempre por una foto del estado actual: el día 1 no eliges software, cuentas lo que tienes. En una PYME española de 60 a 150 empleados la foto suele mostrar entre 3 y 12 denuncias formales al año, otro tanto de consultas informales por correo, y 2 o 3 hilos de investigación activos en un momento dado, con 4 a 6 personas copiadas en cada hilo.

Para hacer este inventario real, abre el buzón compartido y exporta los últimos 12 meses a una hoja de cálculo. Necesitas cuatro columnas: fecha de entrada, canal (correo genérico, formulario web improvisado, email directo a una persona, en persona), asunto, y estado. No copies el cuerpo del mensaje todavía: solo quién lo recibió, cuándo y por qué vía. Esa hoja es tu línea base y la única referencia que te permite decir, dentro de 90 días, que la migración ha funcionado.

Después, mapea quién ve cada caso hoy. Dibuja una tabla con tres columnas: nombre, rol, y qué hace con la denuncia. La pregunta clave es si existe una sola persona responsable del caso de principio a fin o si el caso va saltando de mano. Si la respuesta es lo segundo, el primer cambio de la migración no es tecnológico sino de proceso: asignar un responsable único por caso desde el minuto cero, como exige la Directiva (UE) 2019/1937 en su artículo 9. Este mapeo es la base sobre la que se construye todo el plan de migración, incluido el de gestión interna de denuncias.

¿Qué datos se pueden mover del buzón antiguo al nuevo sistema?

Del buzón antiguo se mueven al nuevo sistema los metadatos del caso (fecha, canal de origen, categoría de la denuncia, responsable asignado) y el cuerpo del mensaje original, anonimizado cuando proceda. No se mueven las direcciones de correo de quienes figuran como denunciantes si esos correos fueron enviados con expectativa de confidencialidad: antes de importarlos, decide caso por caso si la identidad puede conservarse o si debe destruirse y quedarse solo con el contenido. Esa decisión tiene que quedar firmada por el responsable de protección de datos y registrada en el acta de migración. Este punto enlaza directamente con los principios de protección de datos (RGPD) que aplican a este tipo de procesos.

¿Por qué el correo y las hojas de cálculo no cumplen la Ley 2/2023 ni la Directiva UE 2019/1937?

El correo compartido y el Excel no cumplen la normativa porque no pueden garantizar, por diseño, los requisitos que sí son obligatorios: anonimato técnico, registro inmutable y acuse de recibo en plazo.

La Ley 2/2023, que transpone la Directiva UE 2019/1937, fija tres obligations operativas que un buzón genérico simplemente no puede acreditar ante un auditor. La primera es el acuse de recibo de la denuncia en un plazo de 7 días naturales desde su recepción; en una bandeja compartida ese acuse depende de que alguien revise el correo a tiempo, y no hay forma de demostrar que se hizo. La segunda es la comunicación al denunciante del seguimiento en un plazo máximo de 3 meses; sin un sistema de tickets, ese seguimiento se pierde entre hilos y reenvíos. La tercera es la llevanza de un registro de las denuncias recibidas, con identificación del responsable, sin conservar datos que puedan identificar al denunciante más allá del tiempo necesario.

El correo tampoco puede acreditar el anonimato real. Aunque un denunciante escriba desde una cuenta personal, el servidor de correo registra la IP del remitente en las cabeceras, y en una investigación interna el comité de empresa o el juez puede solicitar esa cabecera. Para garantizar el anonimato del denunciante hace falta un sistema que no registre la IP y que no deposite cookies de seguimiento en el navegador del denunciante; un buzón de correo, por definición, no puede ofrecer esa garantía, como recuerda la AEPD en su guía sobre protección de datos en canales de denuncia.

¿Qué pasa si la empresa sigue con el buzón compartido tras la entrada en vigor de la Ley 2/2023?

Si la empresa sigue con el buzón compartido tras la entrada en vigor de la Ley 2/2023, queda expuesta a dos riesgos simultáneos: una sanción de la AEPD por incumplimiento de las obligaciones de protección de datos del denunciante, y una sanción de la autoridad laboral autonómica por no disponer de un canal conforme. El buzón improvisado, además, no exonera de la responsabilidad: si llega una denuncia grave y la empresa no puede acreditar que la tramitó en plazo, el juez presume que no la tramitó.

Cómo elegir el software adecuado: criterios técnicos, legales y operativos que importan

El software se elige con una matriz de 6 criterios, no con una demo: cifrado, residencia de datos, independencia del proveedor, multilingüe, auditabilidad y modelo de precio. El peso de cada criterio depende del sector (financiero, sanitario, industrial) y de si la matriz se cruza con certificaciones que la empresa ya tiene auditadas.

El primer criterio es técnico y no negociable: cifrado de extremo a extremo con clave única por denuncia. Si el proveedor puede leer el contenido de la denuncia, no estás protegiendo al denunciante, estás confiando en la buena voluntad del proveedor. El segundo criterio es la residencia de datos dentro de la UE y, a ser posible, en países con leyes de protección de datos más estrictas que la media europea. El tercero es la independencia del proveedor: el canal debe ser un sistema externo al ERP, al CRM y al correo corporativo, para que un administrador de sistemas interno no pueda correlacionar la IP de la denuncia con la identidad del denunciante. El cuarto es el soporte multilingüe real, no la traducción automática: en una empresa con plantilla en varias comunidades autónomas o con plantilla extranjera, el formulario tiene que estar disponible en los idiomas que la gente realmente habla, y el denunciante tiene que poder escribir en su idioma. El quinto es la auditabilidad: registros inmutables, exportación en formatos abiertos y un historial completo de la tramitación. El sexto es la seguridad y disponibilidad del canal, que debe estar disponible para todos los empleados y para terceros, no solo para personal interno.

¿Cuánto debería costar un canal de denuncias para una PYME de 80 empleados?

El modelo por empleado, típico de las plataformas generalistas, dispara el precio en cuanto la empresa crece y desincentiva que los empleados denuncien; el modelo por denuncia tramitada, típico de las consultoras, penaliza precisamente las empresas que más usan el canal. Lo razonable es una licencia plana que cubra a toda la organización y un número ilimitado de miembros del equipo gestor. Un referente útil para comparar precios es el catálogo de soluciones de la European Commission.

Plan día a día para migrar sin interrumpir la operativa (semanas 1 a 4)

Plan día a día para migrar sin interrumpir la operativa semanas 1 a 4 La migración se planifica en 4 semanas con un responsable único de proyecto, un comité de seguimiento semanal y dos hitos: el día 14, con el software contratado, y el día 30, con todos los casos antiguos traspasados. El plan se ejecuta aunque la empresa siga recibiendo denuncias durante el proceso: el buzón viejo permanece activo hasta el día 30 y se cierra solo cuando el nuevo canal está validado.

Semana 1: diagnóstico y caso de negocio

Días 1 a 2: cierre del diagnóstico descrito en la primera sección (volumen, canales, responsables, estado de los casos abiertos). Día 5: presentación del caso a dirección y aprobación del presupuesto. Días 6 y 7: selección del comité de migración, formado por un responsable de compliance, un responsable de RRHH, un responsable de protección de datos y un representante del servicio jurídico externo si lo hay. Este comité se apoya también en el área de RRHH, cuya perspectiva sobre adopción interna y cultura resulta clave en migraciones de este tipo.

Semana 2: elección y contratación del proveedor

Días 8 a 10: solicitud de demos a 3 proveedores preseleccionados. El equipo de migración envía a cada proveedor el mismo cuestionario: arquitectura de cifrado, residencia de datos, política de subprocesadores, formato de exportación del registro de actividad, soporte para los idiomas de la plantilla, y certificaciones auditables (ISO 27001, SOC 2). Días 11 y 12: evaluación con la matriz de 6 criterios. Día 14: decisión y notificación al proveedor ganador. Días 14 y 15: firma del contrato, acuerdo de encargo de tratamiento conforme al artículo 28 del RGPD (UE) 2016/679, y entrega de la lista de usuarios administradores.

Semana 3: configuración y pruebas internas

Días 16 a 18: configuración del canal, branding corporativo, formulario de denuncia, idiomas activos, categorías de caso, responsables por defecto y roles. Días 19 y 20: pruebas internas con 2 o 3 casos simulados, uno anónimo y uno identificado, y validación del flujo completo: recepción, acuse de recibo, comunicación bidireccional, escalada y cierre. Días 21 y 22: revisión por el responsable de protección de datos, ajustes de la política de privacidad del canal y del registro de actividades. Días 23 a 25: formación del equipo gestor (2 horas, con casos prácticos) y redacción del procedimiento interno de gestión, que se incorpora al manual de compliance.

Semana 4: lanzamiento, migración de casos abiertos y cierre del buzón antiguo

Días 26 a 28: comunicación interna del nuevo canal por correo, cartel en zona común y mención obligatoria en la próxima reunión de empresa. Día 29: migración de los casos abiertos en el buzón antiguo, según el procedimiento descrito en la sección siguiente. Día 30: cierre del buzón compartido con un mensaje automático a todos los empleados que reenvía al nuevo canal, archivo de la correspondencia en una ubicación de solo lectura y acta firmada de cierre. Días 31 a 35: seguimiento diario por el responsable de migración, resolución de incidencias, primera revisión de métricas de adopción.

Cómo tratar las denuncias ya abiertas en el buzón antiguo sin romper la cadena de custodia

Los casos abiertos se migran uno a uno, no por lotes, y la cadena de custodia se documenta con un acta por caso: fecha de apertura original, responsable asignado, fecha de volcado al nuevo sistema, hash del mensaje original y firma del responsable que realiza la operación. Sin ese acta, una investigación ya en curso puede quedar invalidada ante un juez.

Para cada caso abierto, el procedimiento es el siguiente. Primero, se exporta el hilo completo del buzón antiguo a un PDF firmado electrónicamente, que pasa a ser el original custodiado. Segundo, se abre un caso nuevo en el sistema con la misma fecha de apertura, el mismo responsable y la misma categoría, y se adjunta el PDF como documento inicial. Tercero, se notifica al denunciante, si está identificado, que el caso pasa a gestionarse en el nuevo canal y se le ofrece continuar la comunicación a través de él, manteniendo la confidencialidad. Cuarto, se documenta la operación en el registro de actividades del nuevo sistema, con sello de tiempo, y se incorpora al expediente de auditoría.

¿Qué hago con los casos cerrados del buzón antiguo?

Los casos cerrados se exportan, se firman electrónicamente y se custodian en un archivo de solo lectura fuera del sistema nuevo, accesible solo al responsable de compliance y al de protección de datos. No se migran al sistema nuevo para no inflar el registro de actividad con casos históricos, pero se conservan durante el plazo que la política interna de retención prevea (recomendable: 5 años desde el cierre del caso, alineado con el plazo de prescripción de las infracciones laborales graves).

Configuración inicial del nuevo canal: branding, formulario, idiomas y accesos por rol

La configuración inicial del nuevo canal se hace una sola vez y se valida antes del lanzamiento: branding corporativo, formulario con 5 a 7 campos como máximo, idiomas activos, y roles con permisos bien definidos. Un formulario demasiado largo reduce las denuncias anónimas, y unos roles demasiado abiertos destruyen la confidencialidad que el canal intenta proteger.

En el branding basta con el logotipo, los colores corporativos y un encabezado con el compromiso de no represalia. El formulario tiene que distinguir entre denunciante identificado y anónimo desde la primera pregunta, sin obligar a facilitar ningún dato personal si la persona elige el anonimato. Los idiomas activos deben coincidir con los idiomas reales de la plantilla, no con los del país: una empresa con el 30 % de la plantilla en rumano necesita el formulario en rumano, no solo en español y en inglés. Los roles típicos son administrador (configuración y usuarios), gestor de caso (lectura y comunicación de los casos asignados), revisor (lectura agregada para auditoría) y, si procede, un rol de enlace con la autoridad competente externa.

Una vez configurado, el sistema tiene que pasar una prueba de humo: una persona ajena al proyecto debe poder enviar una denuncia anónima desde un dispositivo limpio, sin cookies previas, y recibir un código de seguimiento. Si esa prueba falla, el canal no está listo para producción y se vuelve a la semana 3.

¿Cuántos idiomas debe soportar el canal?

El canal debe soportar al menos los idiomas oficiales del Estado más los idiomas que la plantilla use de forma significativa (en la práctica, entre 2 y 5 en una PYME española media). Soportar más idiomas no aporta valor si nadie los usa, pero quedarse corto sí es un problema: un denunciante que no pueda escribir en su idioma recurrirá al correo directo, y la denuncia se perderá fuera del canal formal. La ISO 37002:2021 sobre sistemas de gestión de whistleblowing recomienda expresamente que el canal sea accesible a todos los grupos de interés, y la accesibilidad incluye la lingüística.

Errores frecuentes en la migración y cómo evitarlos

Los errores que más cuesta arreglar son los que se cometen en las dos primeras semanas: subestimar el volumen de casos vivos, no firmar el encargo de tratamiento, lanzar el canal sin formación interna y dejar el buzón antiguo abierto demasiado tiempo. Detectarlos pronto multiplica por tres las opciones de recuperación; detectarlos tarde obliga a reauditar el proceso completo.

El primer error es pensar que no hay casos abiertos. Siempre hay casos abiertos: consultas que llevan semanas sin respuesta, hilos reenviados entre departamentos, pesquisas informales que nunca se cerraron como caso. El segundo error es firmar el contrato con el proveedor sin un encargo de tratamiento firmado al mismo tiempo, lo que deja a la empresa en una posición ilegal durante semanas. El tercer error es lanzar el canal sin haber formado a los gestores: si un gestor responde a una denuncia anónima pidiendo el nombre del denunciante por correo, la empresa ha violado la confidencialidad y ha destruido la confianza en el canal. El cuarto error, y el más caro, es dejar el buzón antiguo abierto como segundo canal: si las denuncias se reparten entre dos canales, ninguna de las dos estadísticas refleja la realidad y el auditor detecta inmediatamente la inconsistencia.

Un error adicional, frecuente en empresas con varios centros de trabajo, es olvidarse de designar un responsable de protección de datos específico para el canal. La AEPD ha sancionado a empresas precisamente por no tener ese rol claro, y la sanción llega aunque el canal esté técnicamente bien configurado.

Cómo medir si la migración funcionó: métricas de adopción y cumplimiento

La migración se mide con tres métricas de adopción y tres de cumplimiento, calculadas mensualmente durante los primeros 6 meses y revisadas en el comité de compliance. Sin métricas, la migración es una opinión; con métricas, es un proceso auditable.

Con esas seis cifras sobre la mesa, el responsable de compliance puede defender ante un auditor o ante dirección que la migración ha cumplido su objetivo, y puede identificar dónde intervenir si alguna métrica cae. La diferencia entre una migración que aporta valor y una que solo cambia de herramienta está exactamente en esas seis cifras.

¿Qué indicadores usa la AEPD para evaluar un canal de denuncias?

La AEPD evalúa un canal de denuncias con tres criterios principales: que el canal esté operativo y documentado, que el registro de actividad sea inmutable y exportable, y que el plazo de acuse de recibo de 7 días se cumpla de forma demostrable. Para acreditar el cumplimiento, la AEPD suele pedir, en una inspección, el registro de actividad firmado, la política de privacidad del canal y una muestra de tres a cinco casos con sus acuses de recibo fechados. Si la empresa no puede aportar esa documentación, la multa se aplica aunque el canal exista técnicamente. Por eso, la AEPD, en su guía práctica sobre el canal de denuncias, recuerda que el canal no puede considerarse implantado hasta que todos los casos abiertos tengan respuesta documentada.

Preguntas frecuentes

¿Es obligatorio migrar a un canal formal si la empresa ya tiene un buzón de denuncias?

Sí, es obligatorio migrar a un canal formal desde el momento en que la empresa entra en el ámbito de aplicación de la Ley 2/2023 (empresas de 50 o más empleados, y todas las empresas del sector público). Un buzón de correo genérico no cumple los requisitos legales porque no garantiza el anonimato técnico, no acredita el acuse de recibo en 7 días y no genera un registro inmutable de actividad. Mantener un buzón informal, aunque siga siendo útil como canal secundario, no exime de la obligación de tener un canal formal operativo y documentado.

¿Cuánto tarda realmente una migración de email a canal de denuncias?

Una migración de email a canal de denuncias, bien planificada, tarda entre 25 y 35 días naturales en una PYME de 60 a 150 empleados, contando desde el diagnóstico inicial hasta el cierre del buzón antiguo. El plazo se alarga si la empresa tiene casos abiertos complejos que requieren tratamiento individualizado, o si la aprobación de dirección se retrasa más de una semana. El plazo se acorta si la dirección aprueba el proyecto antes del diagnóstico y si el proveedor de software ya tiene un plan de onboarding definido.

¿Qué pasa con las denuncias anónimas que llegan durante la migración?

Las denuncias anónimas que llegan durante la migración se gestionan en el canal nuevo desde el primer día de su puesta en producción, sin esperar al cierre del buzón antiguo. Si la denuncia llega al buzón viejo, el responsable la reenvía al nuevo sistema con un código interno y abre el caso allí, sin guardar copia en el buzón compartido más allá del tiempo necesario para la transición. Esa doble vía está permitida durante los 30 días de migración y debe estar documentada en el procedimiento interno.

¿Necesito un DPO externo para la migración del canal de denuncias?

No es estrictamente obligatorio tener un DPO externo para la migración del canal de denuncias, aunque sí es muy recomendable. La Ley 2/2023 obliga a designar un responsable interno del canal y, en muchos casos, este puede ser la misma persona que ejerce las funciones de DPO. Sin embargo, contar con apoyo externo para la revisión del encargo de tratamiento y para la prueba de humo del anonimato reduce de forma significativa el riesgo de sanción, sobre todo en empresas sin departamento jurídico interno.

¿Cuánto cuesta mantener el canal después de la migración?

No hay coste por denuncia recibida, ni coste de configuración recurrente, ni coste de mantenimiento técnico.

Fuentes