Introducción: el peor momento para ser curioso
Existe una experiencia sorprendentemente banal y rara vez contada: la del empleado, el voluntario, el cliente o el simple internauta que, en medio de una operación rutinaria, se topa con algo que no debería haber visto.
Una carpeta compartida mal configurada que contiene las nóminas de todo el departamento. Una URL en la que basta con cambiar el número del final para mostrar el historial médico del paciente siguiente. Una hoja de cálculo enviada como adjunto a cincuenta destinatarios con, en la pestaña número tres, los datos completos de tres mil personas. Un programa instalado en los puestos de trabajo que registra mucho más de lo que anunciaba la circular interna.
En ese preciso instante se pone en marcha una mecánica desagradable. Denunciar es señalarse. Es explicar cómo lo viste y, por tanto, a veces admitir una curiosidad que pueden volver en tu contra. Es, en una organización pequeña, ser identificable en tres segundos. Y la estadística es cruel: la Maison des lanceurs d'alerte y el Défenseur des droits documentan desde hace años que la mayoría de las personas que denuncian sufren un deterioro de su situación profesional, incluso cuando la alerta está fundada.
Esta guía no predica el heroísmo. Describe un método: a quién hablar, en qué orden, con qué nivel de exposición y qué protecciones jurídicas existen realmente en el derecho francés desde la ley del 21 de marzo de 2022.
Paso 0: no hacer nada durante veinticuatro horas
La peor decisión se toma en la hora siguiente al descubrimiento, bajo el impulso de la indignación. Un mensaje enviado desde el correo profesional, una captura de pantalla publicada en una red social, una llamada al periodista local: cada una de estas reacciones cierra puertas de forma definitiva.
Lo que sí puedes hacer de inmediato, en cambio:
- Anotar los hechos por escrito, fuera de los sistemas de la organización implicada. Fecha, hora, lo que viste, cómo llegaste hasta ahí, sin jerga. Un cuaderno de papel sigue siendo el soporte menos rastreable; un cuaderno de tapa dura en formato A5 cabe en un bolsillo y no deja ningún registro.
- No descargar de forma masiva. Extraer una base entera «para tener pruebas» te convierte jurídicamente de alertador en autor de una extracción fraudulenta. La jurisprudencia francesa distingue claramente entre la consulta fortuita y la aspiración organizada.
- No seguir probando la brecha. Comprobar una vez que un identificador modificado muestra efectivamente otra ficha es constatación. Hacerlo cien veces es acceso y mantenimiento fraudulento en un sistema de tratamiento automatizado de datos, artículo 323-1 del código penal francés.
- No hablar de ello con tu entorno. La filtración de tu alerta se produce casi siempre en la máquina de café, nunca por los metadatos.
La regla de oro: tu valor reside en lo que has visto, no en lo que te has llevado.
Cartografiar los posibles destinatarios
No existe un «buen» interlocutor, sino una jerarquía: del menos expuesto al más expuesto, y del más eficaz al más incierto.
1. El propio responsable del tratamiento
Resulta contraintuitivo, pero suele ser lo más rápido. Un fallo de configuración se corrige en unas horas cuando se avisa al equipo adecuado. Muchas organizaciones disponen de una dirección específica del tipo security@ o de un archivo security.txt publicado en la raíz de su web, una convención normalizada por la RFC 9116 precisamente para estos casos.
Ventaja: la brecha se cierra. Inconveniente: te diriges a quien tiene interés en que nada se sepa.
2. El delegado de protección de datos (DPO)
Toda organización sujeta a la obligación designa uno, y sus datos de contacto deben ser públicos. El DPO tiene una misión legal de independencia y no puede ser sancionado por el ejercicio de sus funciones (artículo 38 del RGPD). En una organización seria es el mejor punto de entrada interno: conoce el procedimiento de notificación a la autoridad de control en un plazo de 72 horas y sabe calificar lo que describes.
3. La CNIL
La autoridad francesa dispone de un formulario de reclamación en línea y acepta denuncias. Un punto importante y a menudo ignorado: se puede acudir a la CNIL sin ser uno mismo la persona afectada por los datos, ya que tramita denuncias de terceros. Cada año publica en su memoria de actividad el volumen de reclamaciones recibidas, que supera con creces las catorce mil anuales desde hace varios ejercicios.
4. Las demás autoridades sectoriales
Según el contexto: la ANSSI y su dispositivo de notificación para incidentes que afectan a sistemas sensibles, la inspección de trabajo para la vigilancia ilegal de los empleados, la Autorité des marchés financiers, la ARCOM. El Défenseur des droits desempeña además un papel de orientación y protección de los denunciantes desde la ley Waserman.
5. La sociedad civil y la prensa
La Quadrature du Net, la Ligue des droits de l'Homme, los sindicatos y algunas redacciones especializadas disponen de canales de recepción seguros. Es la vía más eficaz en términos de impacto público, la más arriesgada en términos de exposición y la que, jurídicamente, debe llegar después de los canales internos y de las autoridades, salvo peligro grave e inminente.
Lo que la ley francesa protege realmente
El régimen francés fue profundamente reformado por la ley del 21 de marzo de 2022 (conocida como ley Waserman), que transpone la directiva europea 2019/1937. Lo esencial, en lenguaje claro:
| Elemento | Lo que dice el derecho |
|---|---|
| Quién está protegido | Toda persona física que comunique, sin contrapartida económica y de buena fe, información sobre un crimen, un delito, una amenaza para el interés general o una vulneración del derecho de la Unión |
| El desinterés | La condición de «desinterés» fue suprimida en 2022: basta con actuar sin contrapartida económica directa |
| El orden de los canales | La denuncia interna ya no es obligatoria antes de la denuncia externa. Se puede acudir directamente a la autoridad competente |
| La divulgación pública | Posible si no hay tramitación en los plazos previstos, si existe riesgo de represalias o ante un peligro grave e inminente |
| Las represalias | Despido, sanción, discriminación, marginación: nulas de pleno derecho, con inversión de la carga de la prueba ante el juez |
| La irresponsabilidad | El denunciante no es penalmente responsable por la sustracción o el encubrimiento de documentos a los que haya tenido acceso lícito |
Esta última línea merece releerse. La protección cubre los documentos obtenidos legalmente en el marco de tus funciones. No cubre la intrusión. Es exactamente la frontera descrita más arriba.
Añadamos una noción rara vez citada: el artículo 122-9 del código penal francés establece una causa de irresponsabilidad penal para el denunciante que respete los procedimientos. Y el entorno —compañeros, allegados, sindicato— goza ahora del estatuto de «facilitador», también protegido.
Construir un canal de contacto que no te delate
Supongamos que ya has elegido destinatario. Queda la cuestión práctica: cómo escribirle sin que el remitente seas tú.
Lo que nunca debes utilizar
- El material de la empresa. Puesto de trabajo, teléfono profesional, red wifi corporativa, VPN de acceso remoto: todo queda registrado, a menudo durante seis meses o un año, y esos registros son los primeros que se consultan en una investigación interna.
- Tu dirección de correo personal habitual. Está vinculada a tu identidad por una decena de cruces de datos.
- Una cuenta creada cinco minutos antes del envío, desde tu conexión doméstica. La dirección IP de creación y la marca temporal bastan.
- Un documento ofimático sin tratar. Los archivos Word, PDF o las fotos llevan incrustados metadatos: nombre de usuario, nombre de la impresora, coordenadas GPS de la toma, número de serie del dispositivo. Es imprescindible una limpieza sistemática antes de cualquier envío.
Los canales preferibles
El SMS anónimo. Para un primer contacto breve —«su área de clientes expone los archivos del directorio /exports, revísenlo con urgencia»— un SMS enviado a través de una pasarela anónima resulta enormemente adecuado: no hay que crear cuenta, no queda historial de mensajería y el mensaje llega con toda seguridad a un teléfono profesional. No sirve para transferir documentos, pero es inmejorable para provocar una toma de conciencia y proponer un canal de continuidad. La contrapartida que conviene conocer: la pasarela conserva, por motivos legales, registros técnicos. El anonimato es real frente al destinatario, no absoluto frente a un requerimiento judicial.
El correo postal. Infravalorado, casi perfecto. Una carta impresa en un punto de impresión público, sin membrete, depositada en un buzón alejado de tu domicilio, no lleva ningún metadato digital. El Défenseur des droits, la CNIL y la mayoría de las redacciones aceptan el correo en papel.
Las plataformas de depósito seguro. Varios medios franceses operan una instancia de SecureDrop o equivalente, diseñada para que ni la propia redacción conozca la fuente. Úsalas desde una red que no sea ni tu casa ni tu oficina.
Una mensajería cifrada en un dispositivo distinto. Si el intercambio va a prolongarse, un segundo teléfono comprado de segunda mano y pagado en efectivo, junto con una tarjeta SIM prepago dedicada, crea una separación nítida. Es la lógica de la compartimentación: un dispositivo, un uso, ningún contacto común con tu vida ordinaria. Un smartphone reacondicionado de gama de entrada basta de sobra para este uso.
El detalle que delata a todo el mundo
El estilo de escritura. Las investigaciones internas no buscan IP, buscan giros de lenguaje. Si solo tres personas conocen el expediente y tu mensaje reproduce el vocabulario exacto de una reunión, el anonimato técnico no sirve de nada. Escribe breve, factual, sin ironía y sin detalles que solo un círculo restringido pudiera conocer. Reléelo preguntándote: «¿cuántas personas podrían haber escrito esto?».
El contenido de la denuncia: lo que la hace creíble
Una denuncia anónima parte con una desventaja: nadie puede llamarte para verificar. Por eso debe sostenerse por sí sola.
Estructura recomendada, en una página como máximo:
- La organización afectada, nombrada con precisión.
- Los hechos, fechados, descritos sin interpretación. «El 12 de agosto, la dirección [X] mostraba sin autenticación una lista de 4.000 líneas con nombre, dirección y número de seguridad social.»
- La naturaleza de los datos, indicando si entran en las categorías especiales del artículo 9 del RGPD (salud, opiniones, orientación sexual, biometría), lo que cambia radicalmente la gravedad.
- La prueba mínima: una captura recortada, anonimizada, suficiente para verificar sin divulgar más de lo necesario.
- Lo que pides: corrección, notificación a las personas afectadas, investigación.
- Un canal de recontacto, si aceptas alguno.
Lo que no hay que incluir: tus hipótesis sobre los responsables, tus quejas personales, tu análisis de las motivaciones. Una denuncia que parece un ajuste de cuentas se archiva sin más trámite.
Cuándo hay que avisar a las personas afectadas
El RGPD impone dos obligaciones distintas al responsable del tratamiento, y conviene conocerlas para evaluar la respuesta que te den:
- Artículo 33: notificación a la autoridad de control en un plazo de 72 horas desde que se tuvo conocimiento de la violación, salvo que sea improbable que entrañe un riesgo.
- Artículo 34: información a las propias personas afectadas, sin dilación, cuando la violación pueda entrañar un riesgo elevado para sus derechos y libertades.
Dicho de otro modo: si te responden «ya está corregido, no vamos a alarmar a la gente» cuando han circulado números de seguridad social, la respuesta no es conforme. Es precisamente el tipo de elemento que justifica pasar al canal externo.
Para las personas afectadas, la CNIL recuerda los reflejos útiles: cambiar las contraseñas reutilizadas, vigilar las cuentas bancarias, desconfiar de las solicitudes posteriores, ya que el phishing dirigido explota sistemáticamente las fugas recientes. Un gestor de contraseñas permite detectar de un vistazo las credenciales reutilizadas, y una llave de seguridad física compatible con FIDO2 neutraliza la mayoría de los secuestros de cuenta, incluso con una contraseña comprometida.
Tres escenarios, tres estrategias
Eres empleado y la brecha procede de tu empresa. Prioridad al DPO por escrito, y después al representante del personal. Guarda en tu casa una copia fechada de tu denuncia: será la prueba de anterioridad si se producen represalias. En caso de deterioro de tu situación, acude al Défenseur des droits, que puede emitir un dictamen y orientarte hacia un apoyo económico.
Eres cliente o usuario y descubres la brecha desde fuera. Avisa al security@ o al DPO y, si no se mueve nada, a la autoridad de control en un plazo de quince días. Aquí no existe ninguna relación de subordinación: el riesgo principal es una denuncia por acceso fraudulento, de ahí la importancia absoluta de no haber «explorado».
Descubres un dispositivo de vigilancia ilegal. Cámaras que graban puestos de trabajo, software de captura de pantalla no declarado, geolocalización de vehículos fuera de todo marco. Son asuntos en los que la CNIL ha sancionado en varias ocasiones, y en los que la inspección de trabajo y el comité de empresa son relevos potentes. Documentar con fotos es aquí legítimo: estás documentando aquello que sufres.
Conclusión: el anonimato como condición de la denuncia
Se suele contraponer el anonimato a la responsabilidad, como si ocultar la identidad equivaliera a huir de las consecuencias de lo que se dice. La denuncia de fugas de datos demuestra lo contrario. Sin la posibilidad de hablar sin señalarse, una parte considerable de las brechas nunca se corregiría, y una parte considerable de los tratamientos ilegales nunca se interrumpiría.
No es una opinión militante: es el razonamiento mismo del legislador europeo, que construyó un régimen de protección porque había constatado que el miedo a las represalias bloqueaba la información. Las herramientas de anonimato —pasarela de SMS, depósito seguro, correo en papel, dispositivo dedicado— no son más que la traducción técnica de un derecho ya reconocido.
Queda la disciplina. Documentar sin exfiltrar, alertar sin explotar, escribir breve y factual, elegir el destinatario adecuado antes que el canal adecuado. La técnica protege la identidad; el método protege la alerta.
Para profundizar: la web de la CNIL (sección «violación de datos»), la guía del Défenseur des droits sobre la orientación y protección de los denunciantes, la Maison des lanceurs d'alerte y el texto de la ley n.º 2022-401 del 21 de marzo de 2022 en Légifrance.
