Evidencias de correo en una investigación interna: obtenerlas y conservarlas

Cuando una queja, una reclamación de un cliente o la sospecha de una filtración llega a recursos humanos o a cumplimiento, la empresa tiene que reconstruir qué pasó. Casi siempre, parte de la respuesta está en el correo. El problema es que una prueba obtenida mal, guardada mal o usada mal puede dejar de valer justo cuando más falta hace.

Este artículo sigue el recorrido de una evidencia de correo desde que se identifica hasta que se presenta en un procedimiento: qué marco legal aplica, qué principios respetar, cómo custodiarla, cómo demostrar que no se ha alterado, quién puede acceder, cuánto tiempo guardarla y qué errores la invalidan. Conviene leer antes la guía sobre cuándo puede revisar la empresa el correo de un empleado, porque aquí se parte de que el acceso ya tiene una base y unos límites. Las normas se citan a fecha de octubre de 2026. El texto es informativo y no sustituye el asesoramiento jurídico.

Cuándo se aplica la Ley 2/2023

No todas las investigaciones internas están sujetas a la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esa ley se refiere a las informaciones sobre las infracciones que ella misma define, y protege a quien las comunica. Pero sí obliga a las entidades del sector privado que tengan contratados cincuenta o más trabajadores a disponer de un sistema interno de información (artículo 10.1.a).

Si la investigación nace de una comunicación de ese tipo, la ley fija plazos y garantías que condicionan todo lo demás. El primero: la respuesta a las actuaciones de investigación no puede ser superior a tres meses desde la recepción de la comunicación (artículo 9.2.d). Y si transcurren tres meses sin que se hayan iniciado actuaciones de investigación, la comunicación debe suprimirse, salvo que se conserve como evidencia del funcionamiento del sistema (artículo 32.4).

Si la investigación no nace de un canal de este tipo, la ley no se aplica. Aun así, el RGPD, la LOPDGDD, el Estatuto de los Trabajadores y las reglas de la prueba siguen valiendo, y la organización necesita el mismo rigor para que la investigación resista un control posterior.

Principios de una investigación que aguanta

Una investigación se mide por dos cosas: si llega a la verdad de los hechos y si respeta a las personas afectadas. La Constitución protege a quien se investiga con la presunción de inocencia y el derecho de defensa, reconocidos en el artículo 24 de la Constitución. Y en la práctica se traducen en cuatro principios.

• Confidencialidad: el número de personas que conocen el expediente debe ser el mínimo imprescindible. En el canal de la Ley 2/2023, la identidad del informante no puede revelarse a terceras personas (artículo 33.1).
• Presunción de inocencia: el expediente recoge hechos y su evidencia, no conclusiones anticipadas. Una alerta o un hallazgo no equivale a una culpa.
• Derecho de defensa: la persona investigada debe poder conocer los hechos que se le atribuyen y explicarlos antes de que se decida nada sobre ella.
• Proporcionalidad: la investigación se limita al periodo, a las cuentas y a las fuentes que los hechos necesitan.

Plazos que condicionan la investigación

Los plazos corren en dos direcciones. La investigación debe concluir en un tiempo razonable, y la empresa puede perder la posibilidad de sancionar si tarda demasiado. En el régimen laboral, el artículo 60.2 del Estatuto de los Trabajadores fija el plazo de prescripción de las faltas: veinte días para las graves y sesenta días para las muy graves, en ambos casos a partir de la fecha en que la empresa tuvo conocimiento de su comisión, y en todo caso seis meses después de haber sido cometidas.

Esa cuenta obliga a planificar. Si la prueba tarda semanas en extraerse o en validarse, el plazo corto puede consumirse antes de que haya expediente. Por eso conviene separar desde el principio dos tareas: preservar la evidencia, que es urgente, y analizarla, que puede esperar a que esté completa.

Cadena de custodia: quién tocó la evidencia, cuándo y para qué

La cadena de custodia es el registro continuo de una evidencia: de dónde salió, quién la obtuvo, con qué herramienta, cuándo, qué se hizo con ella y dónde ha estado desde entonces. La ley procesal no fija una receta única para la prueba electrónica, pero el juez valora la fiabilidad de la prueba y su origen, y ahí es donde se nota la diferencia entre una extracción documentada y una captura de pantalla suelta. La referencia técnica más usada es la norma ISO/IEC 27037:2012, que orienta sobre la identificación, la recogida, la adquisición y la conservación de evidencias digitales con valor probatorio potencial.

Para cada evidencia de correo conviene guardar, como mínimo:

• La fuente original: buzón o cuenta, identificador del mensaje y tipo de objeto (correo, adjunto o hilo).
• La fecha del acontecimiento y la fecha en que la evidencia se obtuvo.
• La identidad de quien la extrajo, el motivo y quién autorizó la extracción.
• El método de extracción y la versión de la herramienta utilizada.
• Cada copia o transferencia, con su destino y la fecha.

Integridad: hash y registro de la obtención

La integridad responde a una pregunta sencilla: ¿el contenido que se presenta es el mismo que se obtuvo? La técnica habitual es calcular una huella criptográfica, un hash, del objeto en el momento de la captura y recalcularla cada vez que se consulta o se transfiere. Si coincide, el contenido no ha cambiado desde entonces. Si no coincide, hay una alteración, y hay que explicarla antes de usar la prueba.

Conviene tener claro lo que demuestra y lo que no. Un hash prueba que el objeto no ha cambiado desde su captura. No prueba quién envió el correo, ni que el contenido sea verdadero, ni que la captura fuera completa si el alcance estaba mal definido. Para eso hacen falta los metadatos originales del mensaje, la trazabilidad del buzón y, cuando hay disputa, el criterio de un perito informático.

Quién accede y cómo queda registrado

El acceso a la evidencia es, en sí mismo, un tratamiento de datos. El RGPD exige medidas técnicas y organizativas apropiadas para proteger los datos (artículo 32) y que la empresa pueda demostrar que cumple (artículo 5.2). En una investigación, eso se traduce en cuatro prácticas:

• Acceso por necesidad: solo las personas que investigan, con un rol asignado y un motivo registrado.
• Separación de funciones: quien es parte de los hechos investigados no interviene en la obtención ni en la custodia.
• Registro de accesos: quién consultó cada evidencia, cuándo y desde qué cuenta, incluidas las consultas que no llevaron a ninguna acción.
• Separación entre la copia de trabajo y la copia conservada, que no se toca.

Este registro protege a la persona investigada frente a accesos indebidos y protege a la empresa, porque le permite demostrar que su actuación fue ordenada y que nadie usó la evidencia para otro fin.

Retención y supresión: cuánto guardar

Conservar una evidencia indefinidamente es mala práctica y puede incumplir la ley. El RGPD exige que los datos no se conserven más tiempo del necesario para su finalidad (artículo 5.1.e). En el canal de información, la ley fija límites concretos: los datos del registro de informaciones no pueden conservarse durante más de diez años (artículo 26.2), y las comunicaciones sin actuaciones iniciadas a los tres meses se suprimen (artículo 32.4).

En el resto de investigaciones no hay un plazo legal único. La empresa debe fijar uno, justificarlo por la finalidad y por las posibles reclamaciones, documentar la supresión y dejar constancia de ella. Una retención legal, como la que exige un litigio ya abierto, es un caso distinto y debe decidirse con asesoramiento.

Valor probatorio: qué espera el juez

En el proceso civil y social, los correos y sus reproducciones se valoran como documentos y como medios de reproducción de palabras, imágenes y datos. La Ley de Enjuiciamiento Civil regula la eficacia de los documentos privados y electrónicos y el régimen de la reproducción de sonido, imagen y datos (artículos 326 y siguientes, y 382 a 384). Esos preceptos permiten a la parte contraria impugnar la autenticidad y aportar sus propios medios de prueba. Cuando eso ocurre, el tribunal valora la reproducción conforme a las reglas de la sana crítica, a la vista de lo aportado para cuestionarla.

La Ley Orgánica del Poder Judicial establece en su artículo 11.1 que no surten efecto las pruebas obtenidas, directa o indirectamente, con vulneración de derechos o libertades fundamentales. El riesgo principal de una prueba de correo suele estar en cómo se obtuvo: si se hizo sin respetar la intimidad o el secreto de las comunicaciones, puede quedar fuera del proceso aunque el mensaje sea auténtico. La STC 61/2021, de 15 de marzo, comentada en el artículo sobre el control del correo, muestra que la nulidad de la prueba no decide por sí sola la calificación del despido. Eso no convierte en válida la prueba obtenida con vulneración de derechos fundamentales para acreditar los hechos.

Errores que anulan la prueba o la debilitan

1. Acceder al buzón completo de la persona cuando el alcance era un hilo concreto.
2. Obtener el correo sin política previa ni información, o sin una sospecha que justifique el acceso.
3. Reenviar mensajes a una cuenta propia o hacer capturas de pantalla sin metadatos ni hash.
4. Modificar el archivo: renombrarlo, abrirlo y volver a guardarlo, o convertirlo de formato sin conservar el original.
5. No anotar quién hizo la extracción, cuándo y con qué herramienta.
6. Investigar usando la cuenta personal de la persona o sus dispositivos privados.
7. Mezclar en el mismo expediente hechos, opiniones y conclusiones.
8. Avisar a la persona investigada antes de preservar las evidencias.
9. Conservar indefinidamente todo, o borrar sin registro y sin plazo.
10. Tomar como cierto un resultado automatizado sin contrastarlo con la fuente original.

Cómo encaja una herramienta con evidencias selladas

Una herramienta no sustituye al criterio jurídico, pero puede evitar varios de los errores anteriores de forma sistemática. En EmailDelDia, el módulo de auditoría e investigaciones organiza cada investigación con su alcance, su periodo y sus fuentes. Guarda cada evidencia con el hash del contenido conservado, la fecha del acontecimiento, la fecha de obtención, la identidad de quien la extrajo y el historial de accesos, y exporta el expediente en PDF.

Hay límites que conviene tener presentes. El expediente documenta y ordena hechos, pero por sí solo no demuestra una infracción. Las decisiones disciplinarias las toman personas. Si el periodo investigado no tiene registros completos, el expediente debe decirlo en lugar de mostrar cero actividad. Y para las retenciones legales, la organización puede necesitar las herramientas de conservación de su proveedor, como Microsoft Purview eDiscovery o Google Vault.

Preguntas frecuentes

¿Puede la empresa usar un correo como prueba en un despido?

Sí, si se obtuvo respetando la intimidad y el secreto de las comunicaciones y si se puede demostrar su autenticidad y su integridad. Un correo obtenido con vulneración de derechos fundamentales no sirve para acreditar los hechos (artículo 11.1 de la LOPJ).

¿Qué plazo tiene la empresa para sancionar una falta del trabajador?

Según el artículo 60.2 del Estatuto, veinte días para las faltas graves y sesenta días para las muy graves, desde que la empresa tuvo conocimiento, y en todo caso seis meses desde la comisión. Conviene revisar también el convenio aplicable y el caso concreto.

¿Qué es el hash y por qué importa?

Es una huella criptográfica del contenido. Sirve para comprobar que la evidencia no ha cambiado desde que se obtuvo. No acredita por sí sola quién envió el mensaje ni que el contenido sea cierto, por eso debe acompañarse de los metadatos originales y del registro de la extracción.

¿Hay que informar a la persona investigada desde el principio?

Su derecho de defensa exige que pueda conocer los hechos y responder antes de una decisión. El momento de la comunicación debe permitir ese ejercicio sin poner en riesgo la conservación de la prueba. Esa valoración se hace caso por caso, con asesoramiento jurídico.

¿Cuánto tiempo hay que conservar la evidencia?

No hay un plazo único. En el canal de la Ley 2/2023, el registro de informaciones no puede superar los diez años, y las comunicaciones sin actuaciones iniciadas a los tres meses se suprimen. En el resto de casos, la empresa fija un plazo justificado por la finalidad y por la posible reclamación, y documenta su supresión.