Los 'buzones anónimos' de denuncia proliferan mientras los activistas avisan de sus carencias

La Comisión Nacional del Mercado de Valores (CNMV) anunció el pasado lunes la puesta en marcha de su propio canal de comunicación para recibir denuncias de posibles infracciones "de abuso de mercado" –como, por ejemplo, el uso ilegítimo de información privilegiada–, minimizando así "el daño a los inversores" y contribuyendo a "la transparencia y a la confianza en los mercados españoles". Con este paso, el regulador pretende dar cumplimiento a las obligaciones recogidas en la nueva normativa europea, que establece, entre otros asuntos, la necesidad de que los Estados velen por que "las autoridades competentes" establezcan "canales de comunicación seguros" para "la recepción de denuncias de infracciones potenciales o efectivas y su seguimiento".

En concreto, los avisos pueden darse, según explicaron en un comunicado, a través de dos vías. Por un lado, si el informador no tiene inconveniente en revelar su identidad, el organismo ha habilitado un correo electrónico y un número de contacto para que pueda facilitar su nombre, ocupación o cargo y la fuente de información, detalles que "otorgarán mayor credibilidad a la denuncia". Sin embargo, si decide no revelarla, deberá utilizar "la herramienta de información anónima". Se trata de un formulario con un único campo a cumplimentar: el de la información que se desea transmitir. "Una vez enviado un mensaje, la aplicación asigna una contraseña para que se pueda consultar la respuesta y para adjuntar documentación relativa a ella", explican.

El buzón de denuncias de la CNMV se suma a la larga lista de mecanismos de denuncia que han echado a andar en otras tantas instituciones, empresas, sindicatos o asociaciones en los últimos años. Desde el Ministerio de Empleo, con su herramienta para comunicar casos de fraude laboral que funciona desde 2013, hasta empresas como Ferrovial y entidades como el Sindicato de Empleados Públicos de la Comunidad Valenciana o Societat Civil Catalana, que el pasado mes de julio presentó un buzón para que los funcionarios de los Mossos pudieran denunciar "las presiones" que pudieran recibir "de sus responsables jerárquicos", tanto políticos como policiales. Esta última herramienta se basaba, simplemente, en un correo electrónico y un número de teléfono.

¿Completamente anónimos?

Desde la plataforma Xnet, que saltó a la fama tras desvelar los conocidos como correos de Blesa, llevan meses denunciando que, al contrario de lo que se afirma, estas herramientas no garantizan la seguridad de los denunciantes. Según explica en conversación con infoLibre su fundadora, Simona Levi, un buzón completamente anónimo "debe poder utilizarse a través de la red Tor o mediante el uso de proxys", es decir, a través de una navegación que impida que se pueda identificar al whistleblower –alertador, en inglés– a través de la dirección IP –una suerte de matrícula que te identifica cuando circulas por Internet– desde la que ha enviado la denuncia. "De esta manera, no entras directamente del punto A al B, sino que primero rebotas por otros puntos, impidiendo el rastreo", dice.

Por tanto, continúa, utilizar estos buzones a través de un navegador convencional no garantiza ese anonimato del que presumen. Principalmente porque, aunque no des a conocer tu identidad, sí que "dejas trazos de tu dirección IP", añade. Sin embargo, en la mayoría de los casos que han puesto como ejemplo el problema no se encuentra en el acceso a través de herramientas anonimizadoras. De hecho, este diario pudo comprobar que se puede entrar sin problemas mediante la red Tor a los de la Comisión Nacional del Mercado de Valores, el Ministerio de Empleo o el de Ferrovial. Aquí, explica la fundadora de Xnet, el error que han encontrado fundamentalmente es la falta de información para los denunciantes en dichos buzones. 

"Te tienen que avisar, antes de enviar la denuncia, de que si no entras en el buzón a través de una red anonimizadora hay riesgo de que puedan conocer tu identidad. Lo mismo que te tienen que explicar que si quieres mantener tu anonimato es necesario que borres los metadatos de los documentos que vayas a adjuntar", apostilla Levi. Este último aspecto también es fundamental. A modo de ejemplo, un caso que salpicó a un exmiembro de la CIA hace un par de años. En 2015, el exespía Jeffrey Sterling fue condenado a casi cuatro años de prisión por filtrar a un periodista de The New York Times información sobre una operación para desmantelar el programa nuclear iraní. El juicio se centró en los metadatos de llamadas telefónicas y de correos electrónicos.

Denuncias anónimas

La Inspección de Trabajo denuncia al modisto Alejandro de Miguel por "prácticas irregulares" en materia salarial

Ver más

Tras analizar el buzón de la CNMV, Xnet ha encontrado el mismo error que en los de Empleo o Ferrovial: ausencia de información. El formulario sólo recomienda a los posibles denunciantes comprobar "que la dirección en la barra de direcciones comience con https y no solo con http" o que el navegador muestre "un candado cerrado al principio o al final de la barra de direcciones". Sin embargo, la nota de prensa emitida el día de su puesta en marcha sí instaba "a cargar la página web mediante un software de navegación anónima y a borrar los metadatos de los documentos que se adjunten en el formulario" con el objetivo de "proteger el anonimato de los informadores" y de que no sea "técnicamente posible rastrear las comunicaciones efectuadas".

La segunda crítica la centra en la "discriminación que hacen de las denuncias anónimas". "Si queremos limpiar la democracia se debe permitir el anonimato de las fuentes cuando denuncian", señala Levi. Este tema volvió a saltar a la palestra la primera semana de enero, cuando Justicia remitió al Congreso el proyecto de Ley Orgánica de Protección de Datos, un texto que recoge la posibilidad de que las empresas puedan crear canales de denuncias anónimas sobre conductas contrarias a la ley. Este giro choca de lleno con el criterio que venía aplicando la Agencia Española de Protección de Datos, que ya en 2007 estableció que los sistemas internos de denuncia en las compañías "únicamente" deberían aceptar aquellas en las que "aparezca identificado el denunciante".

Con todo esto sobre la mesa, la fundadora de Xnet recuerda que se suele confundir anonimato y confidencialidad. "En el primer caso tú eres dueño de tu propia privacidad, es decir, que la receptora de la información no sabe quién eres. En el caso de la confidencialidad sí que conoce tu identidad, pero te asegura que no se revelará. Es decir, es una actitud pasiva, delegas la protección de tu privacidad en una autoridad. Sin embargo, esa información puede terminar filtrándose y creemos que la autoridad ha demostrado fallar a menudo", asevera la activista. En todo caso, concluye, lo que "no debería estar permitido" es prometer "que un buzón es anónimo cuando no lo es" porque así "quedan expuestos los denunciantes".