{"id":1776,"date":"2026-10-19T10:56:17","date_gmt":"2026-10-19T10:56:17","guid":{"rendered":"https:\/\/voiceguard-project.eu\/2026\/10\/19\/la-denuncia-de-irregularidades-y-el-rgpd-lecciones-aprendidas-de-nuestro-trabajo-en-grecia\/"},"modified":"2026-10-19T11:22:02","modified_gmt":"2026-10-19T11:22:02","slug":"la-denuncia-de-irregularidades-y-el-rgpd-lecciones-aprendidas-de-nuestro-trabajo-en-grecia","status":"publish","type":"post","link":"https:\/\/voiceguard-project.eu\/es\/2026\/10\/19\/la-denuncia-de-irregularidades-y-el-rgpd-lecciones-aprendidas-de-nuestro-trabajo-en-grecia\/","title":{"rendered":"La denuncia de irregularidades y el RGPD: lecciones aprendidas de nuestro trabajo en Grecia"},"content":{"rendered":"\n

La denuncia de irregularidades y el RGPD: lecciones aprendidas de nuestro trabajo en<\/strong> <\/p>\n\n\n\n

Grecia<\/strong> <\/p>\n\n\n\n

Por MD Brainnovation, Manos Dimogerontakis<\/em> <\/p>\n\n\n\n

En MD Brainnovation trabajamos principalmente como consultores de cumplimiento del RGPD. Desde que Grecia aprob\u00f3 la Ley 4990\/2022, gran parte de ese trabajo ha consistido en ayudar a las empresas a establecer y revisar sus canales de denuncia. Pronto nos dimos cuenta de que la mayor\u00eda de las cuestiones m\u00e1s complejas no tienen nada que ver con la legislaci\u00f3n sobre denuncias. Tienen que ver con los datos personales. En este art\u00edculo compartimos lo que hemos aprendido a lo largo del camino, desde nuestra perspectiva. <\/p>\n\n\n\n

El punto de partida, la Directiva (UE) 2019\/1937 y la ley griega que la transpone, se basan ambas en el RGPD. La identidad del denunciante debe permanecer en manos de las personas autorizadas para gestionar la denuncia. Los datos que sean claramente irrelevantes no deben conservarse. Las denuncias deben almacenarse solo durante el tiempo que sea necesario. La Ley 4990\/2022 a\u00f1ade que las empresas con 50 o m\u00e1s empleados deben nombrar a un responsable de recepci\u00f3n y seguimiento de denuncias (\u03a5.\u03a0.\u03a0.\u0391.), y permite ciertas limitaciones a los derechos de los interesados cuando estos pongan en riesgo al denunciante o a la investigaci\u00f3n. Sobre el papel, esto est\u00e1 claro. En la pr\u00e1ctica, hay cuatro cuestiones que surgen una y otra vez. <\/p>\n\n\n\n

Lecci\u00f3n 1: Empresas del grupo y transferencias de datos <\/strong> <\/p>\n\n\n\n

Muchos de nuestros clientes son filiales griegas de grupos internacionales. El grupo suele disponer ya de una l\u00ednea directa global, a menudo gestionada por un proveedor externo, en la que las denuncias se revisan en la sede central. La reacci\u00f3n natural es integrar a la empresa griega en ese sistema y dar por zanjado el asunto. Eso puede funcionar, pero requiere m\u00e1s reflexi\u00f3n de lo que la mayor\u00eda espera. La empresa griega sigue siendo responsable de su propio canal, por lo que la soluci\u00f3n del grupo debe cumplir los requisitos griegos, incluido el nombramiento de un responsable designado a nivel local. Cuando las denuncias se remiten a la empresa matriz, es necesario definir el papel de cada entidad: qui\u00e9n es el responsable del tratamiento, qui\u00e9n es el encargado del tratamiento y si existe un control conjunto. Y cuando la sede central o el proveedor de la plataforma se encuentran fuera del EEE, se requiere un mecanismo de transferencia, como las cl\u00e1usulas contractuales tipo, y una evaluaci\u00f3n de impacto de la transferencia. Lo que les decimos a los clientes es sencillo: tracen un mapa del recorrido real de una denuncia, desde el momento en que se presenta hasta que se cierra. Muy a menudo nadie lo ha hecho, y el propio mapa pone de manifiesto las lagunas. <\/p>\n\n\n\n

Lecci\u00f3n 2: Solicitudes de acceso de las personas implicadas en una denuncia <\/strong> <\/p>\n\n\n\n

Tarde o temprano, alguna de las personas mencionadas en un informe presenta una solicitud de acceso en virtud del RGPD. A veces se trata de un deseo genuino de saber qu\u00e9 datos se conservan sobre ella. Otras veces, es un intento de averiguar qui\u00e9n la denunci\u00f3. La legislaci\u00f3n griega permite a la empresa restringir estos derechos para proteger al denunciante y la investigaci\u00f3n. Sin embargo, hemos visto c\u00f3mo algunas empresas interpretan esto como un permiso para denegar todo, y eso es un error. La restricci\u00f3n debe evaluarse caso por caso y documentarse. La persona afectada sigue teniendo derecho a acceder a los datos que le conciernen, siempre y cuando no se revele la identidad del denunciante ni se perjudique la investigaci\u00f3n. En la pr\u00e1ctica, esto implica una redacci\u00f3n cuidadosa, una justificaci\u00f3n clara en el expediente y una respuesta dentro de los plazos establecidos por el RGPD. Nuestro consejo es preparar un breve procedimiento interno para estas solicitudes antes de que llegue la primera. La mayor\u00eda de los errores se producen al gestionarlas bajo presi\u00f3n. <\/p>\n\n\n\n

Lecci\u00f3n 3: Anonimato y seudonimizaci\u00f3n<\/strong> <\/p>\n\n\n\n

Las denuncias an\u00f3nimas parecen la opci\u00f3n m\u00e1s segura, y para el denunciante a menudo lo son. Para la organizaci\u00f3n, dificultan el seguimiento, ya que no hay nadie a quien pedir m\u00e1s detalles o a quien mantener informado. Las buenas plataformas resuelven esto con un buz\u00f3n an\u00f3nimo, de modo que el equipo encargado del caso pueda hablar con el denunciante sin saber qui\u00e9n es. Cuando se conoce la identidad del denunciante, recomendamos la seudonimizaci\u00f3n dentro del expediente. La identidad se mantiene separada, accesible \u00fanicamente para el responsable, y el expediente del caso funciona con un n\u00famero de referencia. Esto limita el da\u00f1o en caso de que el expediente se comparta o se filtre. Sin embargo, es importante recordar que los datos seudonimizados siguen siendo datos personales para la empresa que posee la clave, por lo que siguen aplic\u00e1ndose todas las obligaciones del RGPD. El mayor riesgo que vemos no es el nombre. Es todo lo que lo rodea: el departamento, las fechas, un detalle que solo una persona podr\u00eda conocer. Antes de que cualquier resumen salga del equipo encargado del caso, alguien deber\u00eda leerlo con una pregunta en mente: \u00bfpodr\u00eda esto identificar al denunciante? <\/p>\n\n\n\n

Lecci\u00f3n 4: La EIPD no es opcional en Grecia<\/strong> <\/p>\n\n\n\n

A menudo nos preguntan si realmente es necesaria una evaluaci\u00f3n de impacto relativa a la protecci\u00f3n de datos para un canal de denuncia de irregularidades. En Grecia, la respuesta es s\u00ed. La lista de la Autoridad Hel\u00e9nica de Protecci\u00f3n de Datos sobre las operaciones de tratamiento que requieren una EIPD (Decisi\u00f3n 65\/2018, publicada en el Bolet\u00edn Oficial 1622\/10.05.2019) menciona expresamente el registro de personas en sistemas de denuncia de irregularidades como un ejemplo de tratamiento que puede impedir que las personas ejerzan sus derechos. Seg\u00fan dicha lista, el mero hecho de cumplir ese criterio basta para que la EIPD sea obligatoria. Seg\u00fan nuestra experiencia, la EIPD es tambi\u00e9n el documento m\u00e1s \u00fatil de todo el proyecto. Obliga a la empresa a responder a las preguntas anteriores: ad\u00f3nde van los datos, qui\u00e9n los ve, cu\u00e1nto tiempo se conservan y c\u00f3mo se gestionar\u00e1n las solicitudes de ejercicio de derechos. Debe realizarse antes de que el canal entre en funcionamiento y revisarse cada vez que cambie la plataforma, el proveedor o la estructura del grupo. <\/p>\n\n\n\n

Reflexiones finales<\/strong> <\/p>\n\n\n\n

Un canal de denuncia solo funciona si la gente conf\u00eda en \u00e9l. Si los empleados creen que se revelar\u00e1 su nombre, guardar\u00e1n silencio, independientemente de lo que diga la ley. Desde nuestra perspectiva como consultores en protecci\u00f3n de datos, cumplir correctamente con el RGPD es la forma de generar esa confianza, y es algo en lo que todas las organizaciones pueden empezar a trabajar ya. <\/p>\n\n\n\n

Fuentes<\/strong> <\/p>\n\n\n\n