Cuánto tiempo conservar una denuncia interna: plazos, supresión y archivo

La duda no es menor: conservar de más y conservar de menos puede meterte en el mismo problema

Muchas organizaciones resuelven bien la puesta en marcha del canal y fallan meses después, cuando toca decidir qué hacer con expedientes antiguos, comunicaciones inadmitidas, datos no pertinentes o investigaciones que ya han terminado. Ahí suele aparecer la pregunta real: cuánto tiempo conservar una denuncia interna y en qué formato.

No es una cuestión puramente técnica. Afecta a compliance, legal, RR. HH., al responsable del sistema y a cualquier tercero que ayude a gestionar expedientes. Si el criterio no está claro, el canal acaba acumulando datos por inercia, mezclando comunicaciones que nunca debieron entrar y dejando demasiadas decisiones para el caso concreto.

Este artículo está pensado para bajar esa duda a una regla operativa: qué puede quedarse en el sistema, qué debe suprimirse sin demora, qué puede conservarse fuera del circuito de admisión y cómo evitar una política de archivo imposible de defender.

Qué dice la Ley 2/2023 y por qué conviene leerla con cuidado

La referencia clave está en el artículo 32 de la Ley 2/2023. La norma no autoriza a guardar indefinidamente todo lo que entra en el sistema interno de información. Al contrario: limita la conservación en el sistema al tiempo imprescindible para decidir si procede iniciar una investigación sobre los hechos comunicados.

Ese mismo artículo añade dos matices que suelen pasarse por alto. El primero: si se comprueba que la información no es veraz, debe suprimirse de inmediato, salvo que esa falta de veracidad pueda constituir por sí misma un ilícito penal. El segundo: si pasan tres meses desde la recepción y no se han iniciado actuaciones de investigación, la comunicación debe suprimirse del sistema, salvo que se conserve solo para dejar evidencia del funcionamiento del canal y en forma anonimizada.

Además, el artículo 26 de la propia Ley 2/2023 permite conservar datos personales de informaciones e investigaciones internas solo durante el tiempo necesario y proporcionado para cumplir con la ley, con un límite máximo de diez años. Ese tope no significa que todo expediente pueda quedarse diez años por defecto. Significa que incluso en escenarios justificables existe un límite exterior.

• Tres meses en el sistema no equivalen a tres meses para cerrar el caso.
• El límite máximo de diez años no convierte la conservación prolongada en una regla general.
• La pregunta práctica siempre es la misma: para qué necesitas seguir tratando esos datos y en qué entorno.

No es lo mismo conservar en el sistema que conservar el expediente con otra finalidad

Este es el punto que más confusión genera. Una cosa es mantener la comunicación activa dentro del sistema interno para decidir su admisión o impulsar la investigación. Otra distinta es conservar determinada documentación porque ya existe una investigación abierta, un expediente disciplinario, un procedimiento judicial o la necesidad de acreditar cómo funcionó el sistema.

Cuando la organización inicia actuaciones de investigación dentro de plazo, la conservación no desaparece por arte de magia a los tres meses. Lo que cambia es la base operativa y el entorno. El sistema de recepción no debería convertirse en un archivo indefinido de todo lo que ocurra después. En muchos casos conviene que la investigación y su documentación sigan un circuito de acceso más restringido, con criterios propios de custodia, plazos y bloqueo.

Dicho de otra forma: los tres meses sirven para evitar que el canal se use como almacén permanente de comunicaciones pendientes o inactivas. No impiden conservar documentación cuando exista una investigación real o posibles responsabilidades que lo justifiquen. Lo que exigen es separar fases, finalidades y accesos.

Cuándo debe suprimirse una comunicación sin esperar más

La supresión inmediata no se limita a los casos de mero desinterés. La Ley 2/2023 obliga a eliminar los datos personales que no sean necesarios para conocer o investigar los hechos y también aquellos que se refieran a conductas fuera del ámbito de la ley. Si en una comunicación aparecen datos accesorios, irrelevantes o especialmente sensibles sin necesidad real, no deberían quedarse en el expediente por comodidad.

También debe haber una reacción rápida cuando la organización constata que la información facilitada no es veraz. Aquí conviene ser muy prudente: no es lo mismo una comunicación no corroborada que una comunicación acreditadamente falsa. La supresión inmediata se apoya en esa constatación, no en una mera sospecha o en el hecho de que la investigación no haya prosperado.

En la práctica, esto obliga a revisar bien formularios, campos abiertos, adjuntos y notas internas. Si el canal permite que se vuelquen sin filtro datos de salud, ideología, vida sexual u otra información especialmente sensible que no hace falta para entender los hechos, el problema no es solo jurídico. También es de diseño del proceso.

• Suprime datos no pertinentes aunque la comunicación siga adelante.
• No confundas falta de pruebas con falsedad acreditada.
• Revisa adjuntos, capturas y notas internas, no solo el formulario inicial.

Qué hacer cuando pasan tres meses y no has iniciado una investigación

Si han transcurrido tres meses desde la recepción y no se han iniciado actuaciones de investigación, la regla general es clara: la comunicación debe salir del sistema. Lo que puede mantenerse, si tiene sentido, es una evidencia anonimizada de que el canal ha funcionado y de que esa entrada existió. No debería seguir visible como expediente ordinario con datos personales completos.

Este punto es especialmente delicado en organizaciones con poco volumen. Como apenas entran casos, existe la tentación de no tocar nada y dejarlo todo tal cual. Es justo al revés: cuanto menos frecuente es el uso del canal, más importante es fijar una rutina de revisión para que los expedientes no se queden congelados por simple olvido.

Una política razonable suele incluir una revisión periódica de entradas abiertas, un aviso automático antes del umbral de tres meses y una decisión documentada entre tres opciones: iniciar investigación, inadmitir y suprimir, o conservar únicamente rastro anonimizado del funcionamiento del sistema.

Cómo fijar una política de conservación que se pueda defender

La mejor política no es la más larga ni la más solemne. Es la que distingue tipos de información y momentos del proceso. No necesita veinte páginas, pero sí decisiones concretas: quién revisa los plazos, cuándo sale una comunicación del sistema, dónde se conserva la documentación de una investigación ya abierta y cómo se aplican supresión, anonimización o bloqueo cuando corresponda.

Aquí suele ayudar separar al menos cuatro bolsas: comunicaciones inadmitidas, comunicaciones en análisis, investigaciones activas y expedientes cerrados con potencial de responsabilidad posterior. Cada bolsa tiene una finalidad distinta y, por tanto, no debería compartir el mismo plazo ni el mismo nivel de acceso.

También conviene alinear procedimiento y herramienta. Si la plataforma no permite estados claros, restricciones por expediente, exportación ordenada y retirada de visibilidad una vez cambia la finalidad del tratamiento, el equipo acabará improvisando con carpetas, correos o descargas locales. Y ahí es donde la política escrita deja de coincidir con la operativa real.

• Define qué se queda en el sistema y qué sale a otro circuito con acceso más limitado.
• Asigna revisiones periódicas y no las dejes a criterio informal.
• Relaciona cada plazo con una finalidad concreta, no con una costumbre interna.

Errores frecuentes que conviene cortar antes de que aparezcan

El primero es pensar que basta con poner un plazo genérico en la política de privacidad. No basta. El equipo necesita saber qué ocurre en el día 80, en el día 95 y cuando una comunicación se convierte en investigación formal. El segundo error es creer que exportar un PDF del expediente resuelve por sí solo la conservación. Sin criterio sobre acceso, justificación y destino posterior, ese traslado solo mueve el problema de sitio.

Otro fallo habitual es no distinguir entre libro-registro, evidencia del funcionamiento del canal y documentación de la investigación. Son piezas relacionadas, pero no idénticas. Mezclarlas hace que el sistema contenga demasiado, o que el expediente formal quede incompleto cuando hay que acreditar decisiones tomadas meses atrás.

Y hay un error de fondo que se repite mucho: usar el límite máximo de diez años como argumento para no decidir nada hoy. Ese límite solo opera como techo legal. La decisión verdaderamente importante sigue siendo por qué mantienes esos datos, quién los necesita y cuándo dejan de ser necesarios en el entorno del canal.

El siguiente paso natural es revisar si tu canal permite aplicar este criterio sin trabajo paralelo

Una comprobación sencilla consiste en preguntarte esto: si hoy repasas las comunicaciones de hace cuatro o cinco meses, ¿podrías explicar por qué siguen donde están, con qué finalidad y con qué acceso? Si la respuesta depende de memoria individual o de carpetas fuera del sistema, la política todavía no está cerrada.

Revisarlo ahora ayuda a dos cosas. La primera, ordenar la parte jurídica y documental sin esperar a una incidencia. La segunda, decidir si la herramienta actual acompaña de verdad la operativa o si te obliga a sostener plazos, supresiones y reasignaciones a base de tareas manuales.

Si estás ajustando ese criterio, puedes revisar cómo encaja la solución, comparar planes o activar el canal con una configuración más fina para plazos, accesos y archivo. Para despachos, consultoras o equipos que acompañan a terceros, también tiene sentido valorar si el programa de partners encaja mejor que una gestión improvisada caso a caso.