Hay un tipo de crisis reputacional que nace dentro de la empresa: un empleado, o un antiguo empleado, publica en internet un correo interno, un audio de una reunión, un documento confidencial o una acusación sobre prácticas irregulares. En pocas horas, el contenido circula por redes, foros y medios.
La reacción instintiva es buscar al responsable y pedir que se retire todo. Pero desde la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, esa reacción puede ser un grave error. Si la filtración está protegida por la ley, actuar contra quien la hizo puede ser una represalia prohibida, con consecuencias sancionadoras y reputacionales mucho peores que la filtración original.
Esta guía explica lo que exige la ley, cuándo una filtración está protegida y cuándo no, y cómo gestionar la reputación en estos casos.
Lo que exige la Ley 2/2023
La ley traspone la Directiva (UE) 2019/1937, conocida como directiva de protección de los denunciantes. Sus obligaciones principales para las empresas son:
Quién está obligado
- Empresas privadas con cincuenta o más trabajadores.
- Empresas de ciertos sectores, con independencia de su tamaño, cuando así lo exige la normativa europea (servicios financieros, prevención del blanqueo, seguridad del transporte, medio ambiente, entre otros).
- Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas que reciban fondos públicos.
- Todo el sector público.
El sistema interno de información
Las empresas obligadas deben tener un sistema interno de información, lo que coloquialmente se llama canal de denuncias, con estas características:
- Permitir comunicaciones por escrito, verbalmente o ambas, incluidas las anónimas.
- Garantizar la confidencialidad de la identidad del informante y de los terceros mencionados.
- Un responsable del sistema designado por el órgano de administración.
- Acuse de recibo en un plazo de siete días naturales.
- Respuesta a las actuaciones de investigación en un plazo máximo de tres meses, ampliable en casos de especial complejidad.
- Un libro registro de las informaciones recibidas y de las investigaciones.
- Información clara sobre los canales externos disponibles.
Los canales externos
Además del canal interno, el informante puede acudir a la Autoridad Independiente de Protección del Informante, o a las autoridades autonómicas equivalentes cuando existen. Puede hacerlo directamente o después de usar el canal interno.
Cuándo una filtración está protegida
La protección de la ley se extiende a quien informa sobre infracciones del Derecho de la Unión dentro de su ámbito, infracciones penales e infracciones administrativas graves o muy graves. No protege, en cambio, las quejas personales ni los conflictos interpersonales sin relación con infracciones.
En cuanto a la revelación pública, es decir, la difusión directa en internet o en medios, el artículo 28 exige que se cumpla alguna de estas condiciones:
- Que antes se haya usado el canal interno o el externo sin que se hayan tomado medidas apropiadas en el plazo establecido.
- Que haya motivos razonables para pensar que la infracción puede constituir un peligro inminente o manifiesto para el interés público, o que existe riesgo de represalias o pocas probabilidades de que se dé un tratamiento efectivo a la información por los canales.
Además, el informante debe tener motivos razonables para pensar que la información era veraz en el momento de comunicarla, aunque después no se confirme.
Lo que no está protegido
- La filtración de información que no se refiere a infracciones: secretos comerciales, estrategias, datos de clientes sin relación con ninguna irregularidad.
- La revelación de información obtenida cometiendo un delito.
- La difusión de información que se sabe falsa.
- La publicación de datos personales de terceros que no son necesarios para informar de la infracción.
La pregunta que hay que hacerse primero
Antes de cualquier reacción, la empresa debe preguntarse: ¿lo que se ha publicado apunta a una posible infracción? Si la respuesta es sí, aunque la empresa crea que es infundado, el tratamiento debe ser el de una posible comunicación protegida.
La prohibición de represalias
La ley prohíbe expresamente las represalias contra los informantes protegidos, incluidas las amenazas y las tentativas. Entre ellas, el despido, la suspensión, la degradación, la denegación de ascensos, la modificación sustancial de condiciones, el daño reputacional, la inclusión en listas negras y las evaluaciones negativas injustificadas. La ley prevé además una inversión de la carga de la prueba en ciertos procedimientos: la empresa tiene que demostrar que la medida adoptada contra el informante no se debió a su comunicación.
Las infracciones de la ley pueden ser sancionadas con multas importantes, y la adopción de represalias está entre las infracciones muy graves.
Desde el punto de vista reputacional, una empresa a la que se atribuye una represalia contra un denunciante tiene un problema mucho mayor que el de la filtración original. Es una historia que los medios reproducen con facilidad.
Cómo reaccionar ante una filtración
1. Preservar y analizar
Documentar lo publicado, dónde, cuándo y con qué alcance. Si es un documento interno, identificar qué es, quién tenía acceso y si contiene datos personales. Esta preservación debe hacerse con garantías si puede terminar en un procedimiento. Es parte de nuestro servicio de peritaje informático.
2. Clasificar el contenido
- Posible comunicación de infracción: tratarla como tal, abrir una investigación interna con las garantías del sistema interno de información y no adoptar medidas contra quien pudo haberla hecho.
- Secretos empresariales sin relación con infracciones: la Ley 1/2019 de secretos empresariales ofrece protección, aunque excluye expresamente los casos en que la revelación se hace para proteger el interés general.
- Datos personales de empleados o clientes: puede constituir una brecha de datos que la empresa debe gestionar, incluida, si procede, la notificación a la AEPD en 72 horas.
- Afirmaciones falsas sobre la empresa o sus directivos: pueden lesionar su honor y justificar acciones.
3. Retirar lo que se puede retirar
Aunque la filtración esté protegida en lo esencial, los datos personales de terceros que no eran necesarios (nombres de empleados sin relación, datos de clientes, información de salud) pueden pedirse retirar de las plataformas. Lo mismo ocurre con las afirmaciones falsas añadidas al contenido filtrado. Lo que no conviene es intentar retirar la información sobre la posible infracción: además de difícil, envía un mensaje de ocultación.
4. Comunicar
Un mensaje público breve que reconozca que la empresa conoce la información, que se ha abierto una investigación con las garantías previstas por la ley y que la empresa no tolera represalias. Y una comunicación interna que recuerde la existencia del canal y su confidencialidad.
5. Investigar con garantías
La investigación interna debe respetar los derechos de los empleados, incluida su intimidad. El acceso al correo corporativo o a dispositivos de trabajo para buscar al autor de una filtración está sujeto a límites: el Tribunal Europeo de Derechos Humanos, en el caso Bărbulescu contra Rumanía, subrayó la necesidad de información previa, proporcionalidad y justificación. Una investigación mal hecha puede invalidar cualquier consecuencia posterior y crear un nuevo problema.
Otros contenidos internos que acaban en internet
No todo lo que se publica desde dentro es una denuncia. Hay otros escenarios frecuentes:
| Escenario | Riesgo | Respuesta |
|---|---|---|
| Opiniones de empleados en portales de empleo | Daño en la captación de talento | Responder; retirar solo lo ilícito. Ver Glassdoor e Indeed |
| Vídeos grabados en el centro de trabajo | Imagen de clientes y compañeros | Retirar por vulneración de imagen o datos |
| Capturas de chats internos | Contexto distorsionado | Valorar si hay infracción; responder con contexto |
| Información de clientes publicada por un empleado | Brecha de datos | Gestión de brecha y retirada |
| Ataques de un exempleado tras un despido | Difamación | Retirada y, si procede, acciones |
Un canal que funciona es la mejor prevención
Desde el punto de vista reputacional, la ley tiene una lectura positiva: un canal interno que funciona, que da confianza y que resuelve, reduce mucho las revelaciones públicas. Cuando los empleados creen que su comunicación será atendida con seriedad y sin represalias, la usan. Cuando creen que no servirá de nada, acuden a internet.
Esto implica no solo tener el canal, sino que sea conocido, accesible, independiente y que dé respuesta en plazo.
Preguntas frecuentes
¿Podemos despedir al empleado que filtró un documento?
Si la filtración está protegida por la Ley 2/2023, no: sería una represalia prohibida. Si no lo está, habrá que valorar la conducta conforme a la normativa laboral. En cualquier caso, la decisión exige un análisis jurídico previo.
¿Y si la acusación filtrada es falsa?
La ley protege a quien tenía motivos razonables para creer que era veraz, aunque después no se confirme. No protege a quien difunde información que sabe falsa. En ese caso, la empresa puede actuar contra las afirmaciones falsas.
¿Es obligatorio el canal para una empresa de veinte trabajadores?
Por regla general, no, salvo que pertenezca a un sector en el que la normativa europea lo exige. Aun así, tenerlo es una buena práctica.
¿Puede la empresa pedir a la plataforma la identidad del autor anónimo?
No directamente. Hace falta una orden judicial. Y si se trata de un informante protegido, intentar identificarlo puede vulnerar la confidencialidad que exige la ley.
¿Qué pasa con las opiniones de empleados en Glassdoor?
Son opiniones protegidas por la libertad de expresión, salvo que contengan afirmaciones falsas, insultos o datos personales de terceros. Lo explicamos en la guía de Glassdoor e Indeed.
Te ayudamos a gestionarlo con cabeza
Una filtración es un momento delicado en el que confluyen la reputación, el derecho laboral, la protección de datos y la protección del informante. Un error en cualquiera de esos frentes agrava los demás. Nos ocupamos de la preservación de la prueba, la monitorización y la retirada de lo que es ilícito, y la parte jurídica la trabajamos con un despacho de abogados especializado.
Si tu empresa está gestionando una filtración, o quiere prepararse, empieza por el análisis gratuito. Te diremos con franqueza qué se puede hacer y qué conviene no hacer. Más información en gestión de crisis de reputación y en el protocolo para las primeras 72 horas de una crisis.
