Denuncia por incumplimiento de medidas de seguridad

Qué es y en qué ámbitos aplica

La denuncia por incumplimiento de medidas de seguridad es la acción legal mediante la cual una persona trabajadora, cliente, usuaria o cualquier afectado pone en conocimiento de la autoridad competente una vulneración de las medidas destinadas a prevenir riesgos, proteger datos personales o salvaguardar instalaciones, bienes y personas. Hablamos de un concepto transversal que abarca la seguridad laboral (prevención de riesgos), la seguridad de la información (RGPD/LOPDGDD), la ciberseguridad, la seguridad física (controles de acceso, videovigilancia, planes de emergencia) e incluso la seguridad de productos y servicios cuando existen estándares o normativas aplicables.

En el ámbito laboral, la denuncia suele dirigirse a la Inspección de Trabajo cuando el empresario no dota de EPIs, no evalúa riesgos, omite formación o ignora protocolos ante herramientas peligrosas, alturas, químicos, manipulación de cargas o turnos que generan fatiga extrema. En el ámbito de protección de datos, se acude a la autoridad de control si se almacenan datos sin base legal, hay brechas no notificadas, contraseñas compartidas, acceso indiscriminado a historiales o cámaras que captan más de lo permitido. En seguridad física, pueden denunciarse salidas de emergencia bloqueadas, planes de evacuación inexistentes, sistemas contra incendios sin mantenimiento o ausencia de control de aforo en eventos.

El objetivo de la denuncia es doble: restaurar la legalidad (exigiendo correcciones inmediatas y sanciones) y proteger los derechos del denunciante y del colectivo potencialmente afectado. No es necesario haber sufrido daño para denunciar; basta con constatar un riesgo real o un incumplimiento normativo. Ahora bien, si además hubo perjuicios (lesiones, pérdidas económicas, daño moral, robo de identidad), la denuncia puede coordinarse con reclamaciones indemnizatorias civiles o laborales.

Cuándo procede la denuncia

Procede denunciar cuando exista incumplimiento objetivo de medidas exigidas por ley, convenio, contrato o por estándares sectoriales. Algunos supuestos frecuentes: ausencia de evaluación de riesgos o de plan de prevención, inexistencia de formación o información sobre peligros, falta de EPIs o su entrega simbólica sin reposición, máquinas sin resguardos, manipulación de sustancias peligrosas sin fichas de seguridad, turnos sin pausas, o falta de vigilancia de la salud. En seguridad física, puertas de emergencia bloqueadas, extintores caducados, señalización deficiente, aglomeraciones sin control o mantenimiento de instalaciones críticas inexistente. En seguridad de la información, credenciales genéricas, terminales sin bloqueo, backups inexistentes, registros de acceso ausentes o cámaras captando áreas prohibidas.

También procede tras una brecha de seguridad (robo de datos, pérdida de dispositivos, intrusión) cuando no se informan a los afectados o a la autoridad en plazo, o cuando las medidas implementadas eran manifiestamente insuficientes. En casos con riesgo inminente para la vida o integridad, debe priorizarse la denuncia urgente y, de ser necesario, la paralización de actividad. Si el incumplimiento es de un proveedor o subcontrata, puede imputarse responsabilidad solidaria o conjunta por falta de diligencia en la selección y supervisión.

• Incumplimientos persistentes pese a advertencias internas, correos o actas.
• Daños materiales o personales (accidentes, ciberfraude, suplantación).
• Riesgos graves y evidentes (salidas bloqueadas, gases, cableados expuestos).
• Omision de notificación de brecha o de registro de actividades en protección de datos.

Pruebas y documentación clave

Una denuncia sólida se apoya en pruebas claras, legales y ordenadas. Reúne todo aquello que demuestre el incumplimiento o el daño: fotografías de salidas bloqueadas, equipos sin resguardos, acumulación de cajas en pasillos de evacuación, EPIs defectuosos; actas de comités de seguridad; correos solicitando medidas; parte de accidente; informes médicos; certificados de extintores; contratos y cláusulas de seguridad; políticas internas; registros de formación; partes de mantenimiento; y en el ámbito de datos, registros de acceso, políticas de contraseñas, evidencias de contraseñas compartidas, pantallazos con datos expuestos, logs de servidor, informes de brecha y comunicaciones a afectados.

Clasifica la evidencia por fecha, origen y relevancia. Añade un breve “resumen probatorio” por cada pieza: qué prueba, qué norma incumple y por qué es relevante. Evita grabaciones en lugares privados sin consentimiento o evidencias obtenidas vulnerando derechos fundamentales. Si hay testigos, recoge su identidad y una declaración escrita; si se trata de trabajadores, valora mecanismos de canal interno de denuncias y confidencialidad. En daños materiales o complejos, solicita un informe pericial (ingeniería, incendios, ciberseguridad, medicina del trabajo).

• Checklist documental: evaluación de riesgos, plan de prevención, formación y entrega de EPIs, plan de emergencia, mantenimiento, registros de acceso, política de contraseñas, contratos con encargados, DPIA si aplica.
• Soporte digital: conserva metadatos, hashes, exporta logs en formatos verificables y custodia la cadena de custodia.
• Conexión causal: vincula el defecto con el daño o el riesgo; sin ese nexo, la sanción puede prosperar, pero la indemnización no.

Procedimiento paso a paso

El procedimiento varía según el marco, pero en líneas generales sigue una secuencia: 1) detección del incumplimiento o del riesgo; 2) documentación con pruebas; 3) comunicación interna (compliance, responsable de seguridad, DPO, servicio de prevención) salvo riesgo grave; 4) denuncia ante la autoridad competente (Inspección de Trabajo, autoridad de protección de datos, órgano municipal o autonómico en materia de seguridad industrial, juzgado si hay delito); 5) inspección o requerimiento; 6) propuesta de sanción y medidas correctoras; 7) recurso si procede; y en paralelo, 8) reclamación de daños por la vía adecuada.

Para presentar la denuncia, identifica el órgano competente y aporta un relato cronológico claro: “qué ocurrió, cuándo, dónde, quiénes intervinieron, qué se incumplió y por qué es grave”. Adjunta el dossier probatorio y solicita expresamente medidas cautelares si existe riesgo inminente. En brechas de datos, añade cuándo se detectó, cuántos registros podrían estar afectados, qué tipo de datos son, y si la organización notificó en plazo. Pide que te mantengan informado del estado del expediente y de las medidas adoptadas.

Responsabilidades y sanciones

El incumplimiento de medidas de seguridad genera responsabilidad administrativa (multas, requerimientos, suspensión de actividad), laboral (recargos de prestaciones por accidente, daños morales por vulneración de derechos), civil (indemnización por daños y perjuicios) e incluso penal en supuestos graves (lesiones por imprudencia, delitos contra los trabajadores o contra la intimidad). La cuantía de las sanciones administrativas se gradúa por la gravedad, la reincidencia, el número de afectados, el beneficio obtenido y la falta de cooperación.

En protección de datos, la falta de medidas técnicas y organizativas puede acarrear multas relevantes y órdenes de cese o limitación del tratamiento. En prevención de riesgos, la omisión de evaluación o de formación, o la ausencia de EPIs, suele traducirse en infracciones graves o muy graves, con recargos y responsabilidades adicionales si hay accidente. En seguridad industrial o de establecimientos abiertos al público, el cierre temporal o el cese de actividad puede ser inmediato cuando el riesgo para el público es alto.

• Atenuantes: adopción rápida de medidas correctoras, colaboración plena, reparación voluntaria del daño, ausencia de lucro.
• Agravantes: reincidencia, dolo o negligencia grave, volumen elevado de afectados, obstrucción a la inspección, lucro directo.

Indemnizaciones y recuperación de daños

La denuncia no siempre compensa económicamente al afectado; por eso se planifica de forma coordinada la reclamación de daños. En accidentes laborales, se valoran lesiones, secuelas, pérdida de ingresos, adaptación del puesto y daño moral. En brechas de datos, se pueden reclamar perjuicios por suplantación, costes de monitorización de identidad, pérdida de oportunidades o afectación reputacional. En seguridad física, daños por incendios, caídas o falta de evacuación pueden incluir bienes, lucro cesante y daño moral.

Para calcular la indemnización, reúne facturas, recibos, informes médicos, periciales, contratos y cualquier medible económico. Acredita la relación causal entre el incumplimiento y el daño, y demuestra que actuaste con diligencia (mitigación del daño). En algunos casos, las pólizas de seguros (de la empresa o propias) cubren parte de los perjuicios; revisa sin demoras coberturas y exclusiones, y comunica el siniestro en plazo.

Plazos, prescripción y urgencias

La eficacia de la denuncia depende de respetar plazos. Muchos procedimientos administrativos fijan plazos de alegaciones de 10 a 15 días hábiles; las reclamaciones de daños pueden prescribir según la vía elegida; la notificación de brechas de datos, por su parte, exige actuaciones rápidas. Por ello, es esencial asesorarse cuanto antes y presentar la denuncia con carácter inmediato cuando el riesgo sea grave o el daño reciente. En accidentes, además, deben comunicarse formalmente y solicitarse reconocimientos médicos o partes para preservar la prueba.

Si existe riesgo inminente, solicita medidas cautelares (paralización de máquinas, desalojo, clausura temporal, retirada de equipos). Si se trata de brechas activas, se recomienda aislar sistemas, cambiar credenciales, preservar evidencias y contactar con expertos en respuesta a incidentes para no destruir pruebas. La dilación en actuar puede agravar daños y comprometer la viabilidad de sanciones o indemnizaciones.

Errores comunes y cómo evitarlos

El error más frecuente es denunciar sin pruebas o con pruebas mal obtenidas. Fotografías borrosas, pantallazos sin contexto, documentos incompletos o no fechados restan fuerza. Segundo error: no intentar la vía interna cuando es viable, lo que puede restar credibilidad y cerrar puertas a soluciones rápidas. Tercero: confundir la vía (p. ej., dirigir a la autoridad equivocada) o mezclar materias sin estructura. Cuarto: descuidar los plazos y perder oportunidades de alegar, recurrir o reclamar daños. Quinto: exponerse a represalias por no usar canales protegidos o por difundir información sensible en redes o foros.

• Comprueba competencia del órgano y requisitos de firma.
• Incluye índice probatorio y cronología sintética (una página) al principio.
• Evita doxing o publicación de datos personales de terceros al difundir evidencias.
• Solicita acuses y guarda todo en doble copia.
• Si hay técnica implicada, apóyate en peritajes o informes de respuesta a incidentes.

Modelos y plantillas orientativos

A continuación, un esquema básico que puedes adaptar a tu caso. No sustituyen el asesoramiento legal, pero te servirán para ordenar la información y presentar la denuncia con claridad.

Preguntas frecuentes