Para implementar um canal de denúncias em conformidade com o RGPD e a Lei n.º 93/2021, a organização deve combinar tecnologia segura, regras de proteção de dados, responsáveis independentes, controlo de acessos, procedimentos de investigação, prazos de resposta e políticas de conservação.

Um formulário protegido resolve apenas a receção. A conformidade depende de todo o percurso da denúncia, desde os dados recolhidos até à comunicação com o denunciante, à investigação, ao encerramento e à eliminação das informações.

A WhistleOn disponibiliza uma plataforma de canal de denúncias com acesso pela web, voz, WhatsApp com Inteligência Artificial, comunicação anónima, gestão de casos, tarefas, planos de ação e relatórios. No entanto, a contratação de uma plataforma não substitui a definição dos procedimentos internos nem a validação jurídica do modelo adotado pela organização.

Um canal de denúncias em conformidade com o RGPD é um sistema que permite receber, analisar, investigar e conservar denúncias com uma finalidade definida, acesso restrito, segurança adequada e prazos documentados.

Que empresas precisam de um canal de denúncias em Portugal?

A Lei n.º 93/2021 estabelece, em regra, a obrigação de dispor de um canal interno de denúncia para pessoas coletivas que empreguem 50 ou mais trabalhadores. A obrigação também se aplica, com as adaptações necessárias, às sucursais situadas em Portugal de empresas com sede no estrangeiro.

Determinadas entidades abrangidas por legislação setorial podem estar obrigadas mesmo quando não atingem o limite de 50 trabalhadores. As entidades privadas com 50 a 249 trabalhadores podem partilhar recursos relativos à receção e ao seguimento das denúncias, desde que continuem a cumprir as respetivas responsabilidades.

Antes de configurar o canal, a organização deve confirmar:

• Quais entidades jurídicas estão abrangidas;
• Quantos trabalhadores possui cada entidade;
• Que legislação setorial pode ser aplicável;
• Quem será responsável pela receção e pelo seguimento;
• Que matérias poderão ser comunicadas;
• Se o canal também receberá questões internas não abrangidas pela Lei n.º 93/2021.

Esta última distinção é importante. Um canal de ética pode receber assédio, discriminação, conflitos de interesses e violações de políticas internas, enquanto o âmbito de proteção previsto na Lei n.º 93/2021 está associado às infrações definidas pelo próprio diploma.

Quando a organização decide ampliar o âmbito do canal, deve estabelecer categorias, bases jurídicas, procedimentos e responsáveis adequados para cada tipo de ocorrência.

Quais são os requisitos legais de um canal interno de denúncia?

A Lei n.º 93/2021 exige que os canais permitam a apresentação e o seguimento seguros das denúncias. O sistema deve preservar a exaustividade, a integridade e a conservação da informação, proteger a identidade do denunciante e de terceiros mencionados e impedir o acesso de pessoas não autorizadas.

Os canais internos devem ainda permitir denúncias por escrito ou verbalmente, anónimas ou identificadas. Quando a denúncia verbal for admitida, deve poder ser apresentada por telefone, mensagem de voz ou, a pedido do denunciante, numa reunião presencial.

A identidade do denunciante e as informações que permitam deduzi-la têm natureza confidencial e devem ficar limitadas às pessoas responsáveis pela receção ou pelo seguimento da denúncia. A divulgação da identidade só pode ocorrer por obrigação legal ou decisão judicial, observadas as condições previstas na lei.

Como aplicar o RGPD ao canal de denúncias?

Mesmo quando uma denúncia é anónima, o seu conteúdo pode incluir dados pessoais de pessoas visadas, testemunhas, gestores, trabalhadores ou terceiros.

Por essa razão, o RGPD aplica-se ao formulário, aos anexos, às mensagens, às gravações, aos registos de acesso, aos documentos produzidos durante a investigação e às decisões resultantes do processo.

A implementação deve começar por um mapa de dados que identifique:

• Que dados serão recolhidos;
• Para que finalidade serão utilizados;
• Qual é a base jurídica aplicável;
• Quem poderá consultá-los;
• Onde serão armazenados;
• Que fornecedores participarão no tratamento;
• Durante quanto tempo serão conservados;
• Como serão eliminados;
• Se existirão transferências internacionais de dados.

O RGPD estabelece princípios como licitude, transparência, limitação das finalidades, minimização, exatidão, limitação da conservação, integridade e confidencialidade. Também exige medidas de proteção de dados desde a conceção e por defeito.

Na prática, isto significa que o canal não deve recolher todos os dados possíveis. Deve recolher apenas os dados necessários para receber e tratar a denúncia.

Quem é o responsável pelo tratamento dos dados?

A organização que determina as finalidades e os meios essenciais do tratamento será, em regra, a responsável pelo tratamento.

Um fornecedor de tecnologia pode atuar como subcontratante quando trata os dados segundo instruções documentadas da organização. Essa relação deve estar regulada por um contrato que defina o objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados, as categorias de titulares e as obrigações das partes.

O contrato também deve disciplinar aspetos como:

• Confidencialidade;
• Medidas de segurança;
• Utilização de outros subcontratantes;
• Apoio no exercício de direitos;
• Comunicação de incidentes;
• Conservação e eliminação;
• Devolução dos dados no final do contrato;
• Auditorias e evidências de conformidade.

A existência de um fornecedor não transfere automaticamente a responsabilidade jurídica pelo canal. A organização continua a precisar de definir quem recebe, analisa, investiga e decide sobre cada denúncia.

Anonimato e confidencialidade são a mesma coisa?

Não.

Anonimato significa que a identidade do denunciante não é recolhida.

Confidencialidade significa que a identidade pode ser conhecida, mas permanece acessível apenas às pessoas autorizadas.

O formulário, o aviso de privacidade e os materiais de divulgação devem explicar esta diferença de forma clara.

Quando o canal permite denúncias anónimas, deve também oferecer uma forma segura de acompanhar o caso e responder a pedidos de esclarecimento sem exigir nome, e-mail ou telefone.

Sem essa comunicação, a equipa responsável pode ficar impossibilitada de confirmar datas, pedir documentos ou esclarecer contradições. O resultado pode ser o encerramento prematuro de uma denúncia relevante.

Porque é que uma caixa de e-mail não é suficiente?

Uma caixa de e-mail pode receber mensagens, mas apresenta limitações importantes para a gestão de denúncias:

• Encaminhamentos difíceis de controlar;
• Cópias locais em computadores e telemóveis;
• Notificações com informações sensíveis;
• Ausência de segregação detalhada de acessos;
• Dificuldade em acompanhar prazos;
• Falta de comunicação anónima;
• Histórico de investigação fragmentado;
• Exportação e duplicação de documentos;
• Menor capacidade de demonstrar quem consultou ou alterou o caso.

Uma solução especializada deve centralizar a denúncia, as mensagens, os documentos, as tarefas e as decisões num ambiente com permissões definidas.

As notificações por e-mail devem informar apenas que existe uma nova ocorrência ou atualização. Nomes, acusações, anexos e detalhes do caso devem permanecer dentro da plataforma protegida.

Como definir os acessos ao canal?

O acesso não deve ser concedido apenas com base na posição hierárquica.

A organização deve aplicar o princípio da necessidade de conhecimento. Cada utilizador deve consultar apenas os casos e campos necessários para desempenhar a sua função.

As permissões podem ser definidas por:

• Entidade jurídica;
• País;
• Unidade;
• Categoria da denúncia;
• Nível hierárquico;
• Etapa da investigação;
• Tipo de dado;
• Potencial conflito de interesses.

Um investigador pode precisar de consultar o conteúdo da denúncia sem ter acesso à identidade do denunciante. A administração central pode precisar de visualizar indicadores consolidados sem abrir o conteúdo integral de todos os casos.

Também devem existir procedimentos para revogar imediatamente o acesso quando uma pessoa muda de função, deixa a organização ou passa a estar envolvida numa investigação.

Como evitar conflitos de interesses?

O fluxo deve prever destinatários alternativos antes de o canal entrar em funcionamento.

Uma denúncia sobre a direção financeira não deve ser encaminhada automaticamente para essa mesma direção. O mesmo se aplica a casos que envolvam administradores, responsáveis de compliance, recursos humanos ou membros do comité responsável pelo canal.

A configuração deve responder previamente a perguntas como:

• Quem recebe uma denúncia contra a administração?
• Quem substitui um membro do comité envolvido no caso?
• Quem decide sobre o acesso a uma denúncia sensível?
• Quando deve ser contratado um investigador externo?
• Como será documentada a alteração do responsável?
• Que informação pode ser comunicada à sede ou ao grupo?

A independência não depende apenas do nome da área responsável. Depende da capacidade real de retirar pessoas em conflito, limitar acessos e justificar decisões.

Que dados devem ser recolhidos no formulário?

O princípio da minimização exige que os dados sejam adequados, pertinentes e limitados ao necessário.

Por isso, a organização deve evitar campos obrigatórios sem finalidade clara, como nome completo, telefone, documento de identificação, cargo ou unidade.

Um formulário eficaz pode começar por:

• Entidade ou local relacionado com os factos;
• Categoria da ocorrência;
• Descrição do que aconteceu;
• Datas aproximadas;
• Pessoas ou áreas envolvidas;
• Existência de testemunhas;
• Evidências disponíveis;
• Risco atual para pessoas ou documentos;
• Preferência por anonimato ou identificação.

A Lei n.º 93/2021 determina que dados pessoais manifestamente irrelevantes para o tratamento da denúncia não sejam conservados e sejam imediatamente apagados.

A equipa responsável deve, portanto, conseguir identificar e eliminar informações recebidas por engano, incluindo documentos pessoais, dados de saúde ou detalhes privados sem relação com a investigação.

Durante quanto tempo devem ser conservadas as denúncias?

A Lei n.º 93/2021 determina que as denúncias sejam registadas e conservadas durante pelo menos cinco anos. Se existir um processo judicial ou administrativo relacionado com a denúncia, a conservação deve continuar enquanto esse processo estiver pendente.

Esse prazo não significa que todas as cópias, exportações e documentos temporários devam ser guardados durante cinco anos.

A política de conservação deve distinguir:

• Registo oficial da denúncia;
• Mensagens trocadas com o denunciante;
• Elementos probatórios;
• Relatórios de investigação;
• Decisões e planos de ação;
• Documentos temporários;
• Exportações;
• Cópias de trabalho;
• Registos de auditoria.

A política também deve indicar quem autoriza a eliminação, como ela será executada e que evidências serão mantidas.

Dependendo da escala do tratamento, das categorias de dados e dos riscos envolvidos, a organização deve avaliar a necessidade de realizar uma Avaliação de Impacto sobre a Proteção de Dados.

Quais são os prazos para responder ao denunciante?

A entidade deve notificar o denunciante da receção da denúncia no prazo de sete dias. Nessa comunicação, também deve fornecer informações claras sobre os requisitos e os meios para a apresentação de uma denúncia externa.

As medidas previstas ou adotadas para dar seguimento à denúncia, bem como a respetiva fundamentação, devem ser comunicadas no prazo máximo de três meses após a receção.

Depois da conclusão, o denunciante pode pedir o resultado da análise. A entidade deverá comunicá-lo no prazo de 15 dias após o encerramento.

O processo interno pode ser organizado da seguinte forma:

1. Receber e registar a denúncia;
2. Confirmar a receção dentro do prazo;
3. Avaliar o âmbito e os riscos imediatos;
4. Verificar conflitos de interesses;
5. Definir responsáveis e permissões;
6. Preservar as evidências necessárias;
7. Solicitar informações adicionais;
8. Documentar medidas e decisões;
9. Comunicar o seguimento ao denunciante;
10. Encerrar o caso e aplicar a política de conservação.

Cada etapa deve ter um responsável, um prazo e uma regra de escalonamento. Férias, ausências ou mudanças de função não podem deixar uma denúncia parada numa conta individual.

Como testar o canal antes do lançamento?

Antes da publicação, a organização deve realizar uma simulação completa com dados fictícios.

O teste deve abranger:

• Apresentação de denúncia escrita;
• Apresentação de denúncia verbal;
• Opção anónima;
• Confirmação de receção;
• Pedido de informações adicionais;
• Acesso do investigador;
• Transferência de responsabilidade;
• Conflito de interesses;
• Gestão de anexos;
• Encerramento;
• Conservação e eliminação.

O percurso também deve ser testado num telemóvel e nos idiomas utilizados pela organização.

As pessoas responsáveis devem ser formadas para tomar decisões, não apenas para utilizar a plataforma. Precisam de saber reconhecer conflitos, restringir documentos, classificar denúncias, comunicar com o denunciante e tratar pedidos relacionados com os direitos de proteção de dados.

Como comunicar o canal aos trabalhadores?

A comunicação deve explicar:

• Quem pode utilizar o canal;
• Que assuntos podem ser comunicados;
• Como apresentar uma denúncia;
• Como funciona o anonimato;
• Quem terá acesso;
• Como o denunciante poderá acompanhar o caso;
• Quais são os prazos;
• Como funciona a proteção contra retaliações;
• Que canais externos estão disponíveis.

A Lei n.º 93/2021 proíbe atos de retaliação contra o denunciante e estabelece medidas de proteção para as pessoas abrangidas pelo regime.

Publicar apenas um link na intranet não é suficiente. O canal deve ser compreendido por trabalhadores, fornecedores e restantes pessoas que possam utilizá-lo.

Como a WhistleOn apoia a implementação?

A WhistleOn é uma plataforma B2B dedicada à implementação e gestão de canais de denúncias em Portugal e noutros mercados.

A solução disponibiliza página web acessível 24 horas por dia, voz na web, WhatsApp com Inteligência Artificial, comunicação segura e anónima, alertas, tarefas, planos de ação, relatórios, dashboards e integração com sistemas de Business Intelligence.

A plataforma também oferece personalização da identidade visual e dos formulários, acesso por smartphone, apoio ao lançamento e formação do comité e dos restantes públicos envolvidos. A WhistleOn informa ainda que disponibiliza suporte e formação do sistema em cinco idiomas.

Segundo as informações institucionais da empresa, os serviços de canal de denúncias são processados através da Google Cloud Platform e os dados das empresas europeias são armazenados na região europe-west1, localizada na Bélgica.

Estes recursos apoiam a execução dos requisitos técnicos e operacionais do canal. A conformidade final dependerá da configuração contratada, dos procedimentos internos, das bases jurídicas adotadas, das permissões concedidas e da atuação das pessoas responsáveis.

Checklist para implementar um canal em conformidade

Antes do lançamento, confirme se a organização:

• Identificou as entidades legalmente obrigadas;
• Definiu o âmbito das denúncias;
• Registou as bases jurídicas;
• Mapeou os dados pessoais tratados;
• Formalizou a relação com os subcontratantes;
• Configurou denúncias escritas e verbais;
• Permite anonimato ou identificação;
• Mantém comunicação com o denunciante anónimo;
• Aplicou controlos de acesso por função;
• Criou rotas para conflitos de interesses;
• Configurou os prazos legais;
• Definiu uma política de conservação;
• Implementou procedimentos de eliminação;
• Formou os responsáveis;
• Testou o percurso completo;
• Comunicou o canal aos públicos abrangidos;
• Estabeleceu revisões periódicas.

Perguntas frequentes

Um canal de denúncias pode ser gerido por uma empresa externa?

A receção das denúncias pode ser operada externamente. No entanto, devem ser garantidas a independência, a imparcialidade, a confidencialidade, a proteção de dados, o sigilo e a ausência de conflitos de interesses. A entidade obrigada continua responsável pela estrutura e pelo seguimento adequado.

O canal tem de aceitar denúncias anónimas?

A Lei n.º 93/2021 estabelece que os canais internos permitam denúncias anónimas ou identificadas, por escrito ou verbalmente.

O RGPD impede a investigação de denúncias?

Não. O RGPD não impede o tratamento de denúncias, mas exige finalidade definida, base jurídica, minimização, segurança, acesso restrito e conservação adequada.

É possível comunicar com um denunciante anónimo?

Sim. Uma plataforma especializada pode atribuir um protocolo ou acesso protegido que permita trocar mensagens sem recolher a identidade do denunciante.

Todos os membros da administração podem consultar as denúncias?

Não automaticamente. O acesso deve respeitar a necessidade de conhecimento, as responsabilidades atribuídas e os possíveis conflitos de interesses.

Qual é o prazo para responder ao denunciante?

A receção deve ser confirmada no prazo de sete dias. As medidas de seguimento devem ser comunicadas no prazo máximo de três meses. Se o denunciante pedir o resultado após a conclusão, a resposta deve ser prestada no prazo de 15 dias.

Por quanto tempo uma denúncia deve ser conservada?

A denúncia deve ser conservada durante pelo menos cinco anos e, independentemente desse prazo, enquanto estiver pendente um processo judicial ou administrativo relacionado.

Conclusão

Um canal de denúncias em conformidade com o RGPD e a Lei n.º 93/2021 não se resume a disponibilizar um formulário.

A organização precisa de controlar todo o ciclo de vida da informação, incluindo recolha, acesso, investigação, comunicação, conservação e eliminação.

A WhistleOn fornece a infraestrutura tecnológica para receber e gerir denúncias com diferentes meios de acesso, comunicação anónima, gestão de prazos, planos de ação e relatórios.

Para que essa estrutura resulte num canal juridicamente adequado e operacionalmente confiável, a tecnologia deve ser acompanhada por responsabilidades claras, procedimentos documentados, formação e revisão periódica.

Conheça a plataforma WhistleOn e avalie como estruturar um canal de denúncias seguro, acessível e adaptado à realidade da sua organização em Portugal.