Canal de denúncias e LGPD: investigar sem expor pessoas

Canal de denúncias é um instrumento de integridade, mas também é uma operação intensa de tratamento de dados pessoais. Em poucos minutos, um relato pode reunir nomes, cargos, mensagens, anexos, dados de saúde, informações trabalhistas, histórico financeiro, imagens, geolocalização, suspeitas de assédio, fraude, discriminação ou conflito de interesse. A empresa precisa investigar, preservar evidências e proteger pessoas, sem transformar a apuração em uma exposição desnecessária.

A LGPD não impede investigações internas. Ela exige que a organização saiba por que trata dados, quem decide, quem acessa, por quanto tempo guarda e quais medidas reduzem riscos. O Decreto nº 11.129/2022, ao tratar de programas de integridade, também aponta a relevância de canais de denúncia, medidas de proteção ao denunciante e diligências apropriadas para apurar irregularidades. A decisão prática não é escolher entre compliance e privacidade; é desenhar um fluxo em que os dois funcionem juntos.

Canal de denúncias com papéis claros

O primeiro ponto é definir responsabilidades. Em muitos grupos, o canal de denúncias fica entre compliance, jurídico, RH, auditoria, segurança corporativa e fornecedor externo. Essa divisão pode funcionar, desde que não fique implícita. Alguém precisa responder pela finalidade da apuração, pela triagem, pelas permissões de acesso, pela contratação da plataforma, pela resposta a incidentes e pelo encerramento do caso.

Na linguagem da LGPD, a empresa normalmente será controladora quando decide as finalidades e os meios principais da apuração. Um fornecedor de plataforma, call center, escritório externo ou consultoria investigativa pode atuar como operador ou, a depender do contexto, como controlador independente em alguma atividade específica. Essa avaliação deve aparecer no inventário de dados e nos contratos, porque ela define instruções, responsabilidades, confidencialidade, subcontratação, registro de logs e apoio em eventual solicitação de titular.

O canal de denúncias também precisa de governança interna. Não basta afirmar que apenas pessoas autorizadas acessam os relatos. É necessário listar perfis: quem vê denúncias anônimas, quem identifica o denunciante quando ele escolhe se identificar, quem acessa anexos, quem pode exportar dados, quem recebe alertas por e-mail, quem aprova investigação sensível e quem decide arquivamento. A regra deve ser compatível com o risco do assunto. Uma denúncia de desvio de conduta simples não precisa circular pela mesma quantidade de pessoas que um caso envolvendo assédio, dado sensível ou alta administração.

Também convém definir independência e conflito de interesses. Se a denúncia envolve alguém da área que normalmente faria a triagem, o caso deve seguir para instância alternativa. Se a administração estiver envolvida, o comitê precisa ter caminho de escalonamento. Canal de denúncias sem regra de substituição cria risco de acesso indevido justamente nos casos mais delicados.

Inventário, base legal e coleta mínima

Um bom inventário descreve o ciclo completo do canal de denúncias: recebimento, triagem, classificação, apuração, medidas disciplinares, reporte a órgãos internos, eventual comunicação a autoridades, defesa em procedimentos e retenção. Em cada etapa, devem aparecer categorias de titulares, tipos de dados, sistemas usados, fornecedores, países envolvidos, prazos e controles.

A base legal deve ser avaliada no contexto. Pode haver cumprimento de obrigação legal ou regulatória em determinados setores, exercício regular de direitos em procedimentos administrativos ou judiciais, legítimo interesse para atividades de integridade e prevenção de ilícitos, ou outra hipótese aplicável. Quando houver dados sensíveis, a análise muda: é preciso observar as hipóteses do art. 11 da LGPD e evitar o uso automático de fundamentos pensados para dados pessoais comuns. O ponto central é documentar a finalidade específica e explicar por que aqueles dados são necessários.

No canal de denúncias, a coleta mínima começa no formulário. Campos livres são úteis, mas aumentam o risco de excesso. O texto de orientação pode pedir que o relato seja objetivo e evite informações íntimas sem relação com o fato. Anexos devem ser aceitos com cautela: prints, gravações, planilhas e fotos podem conter dados de terceiros que não fazem parte da apuração. Quando a empresa usa categorias de denúncia, elas ajudam a direcionar a triagem e limitar quem precisa conhecer o conteúdo.

Também é recomendável separar dados de identificação do denunciante do conteúdo do relato, quando a tecnologia permitir. Essa separação reduz exposição em investigações nas quais a identidade não é necessária para todos os envolvidos. Se o relato for anônimo, a empresa deve ter cuidado para não tentar reidentificar a pessoa sem justificativa clara. Se for identificado, deve explicar quem poderá acessar a identidade e em quais situações.

Outro ponto é a qualidade do dado. Denúncias podem conter opiniões, boatos, documentos incompletos e informações de terceiros. A investigação deve diferenciar fato, indício e conclusão. Essa separação evita que dados imprecisos sejam replicados em relatórios, medidas disciplinares ou comunicações internas. No canal de denúncias, privacidade também significa reduzir circulação de afirmações não verificadas.

Transparência sem comprometer a apuração

Transparência não significa abrir a investigação inteira para todos. A LGPD exige informações claras sobre o tratamento e seus agentes, observados segredos comercial e industrial. Em apurações, também pode haver necessidade de preservar confidencialidade, evitar retaliação, proteger testemunhas e não prejudicar medidas investigativas. A solução é oferecer uma comunicação proporcional.

A política do canal de denúncias deve explicar finalidades, categorias de dados, base legal em termos compreensíveis, responsáveis pelo canal, possibilidade de compartilhamento com áreas internas e fornecedores, retenção, medidas de segurança e canais para exercício de direitos. Deve deixar claro que o uso de dados ocorrerá para receber, analisar e apurar relatos, adotar medidas cabíveis e cumprir obrigações quando aplicável.

O investigado também tem direitos, mas o atendimento deve considerar o estágio da apuração e a proteção de outras pessoas. Um pedido de acesso não deve revelar automaticamente identidade de denunciante, testemunhas ou documentos estratégicos. A empresa precisa ter um procedimento para avaliar solicitações caso a caso, registrar a decisão e fornecer resposta compatível com a LGPD.

Esse cuidado conversa com um programa de governança em privacidade. O canal de denúncias não deveria ser um processo isolado, administrado apenas por quem comprou a ferramenta. Ele precisa entrar na matriz de tratamento de dados, no treinamento, na gestão de fornecedores e no plano de incidentes.

Acesso, retenção, fornecedores e evidências

O controle de acesso é um dos pontos mais sensíveis. Relatos não devem ficar em caixas de e-mail compartilhadas, pastas abertas ou planilhas copiadas. A plataforma deve permitir perfis, autenticação adequada, logs, trilha de alterações, exportação controlada e segregação por caso. Quando a investigação exige compartilhar documentos com jurídico externo, auditoria ou comitê, a empresa deve preferir repositórios controlados e evitar encaminhamentos informais.

Retenção também precisa ser definida antes do acúmulo virar problema. Nem todo relato deve ser guardado pelo mesmo prazo. Casos improcedentes, duplicados ou sem elementos mínimos podem ter retenção menor, a depender de política interna e riscos de defesa. Casos que resultam em medida disciplinar, investigação regulatória ou litígio podem justificar prazo maior. O importante é que a decisão seja documentada, proporcional e conectada a uma finalidade.

Fornecedores merecem diligência. A empresa deve avaliar onde os dados ficam armazenados, se há suboperadores, como backups são tratados, como ocorre exclusão ao fim do contrato, quais medidas de segurança existem, quais logs são disponíveis e como o fornecedor apoia incidentes. O contrato deve prever instruções de tratamento, confidencialidade, limitações de uso, suporte a solicitações, comunicação de incidente e regras de devolução ou eliminação.

Incidentes em apurações internas podem ocorrer por envio indevido de relatório, permissão excessiva, vazamento de identidade do denunciante, acesso por pessoa investigada, perda de notebook ou extração indevida por fornecedor. Quando o incidente puder acarretar risco ou dano relevante, a Resolução CD/ANPD nº 15/2024 prevê comunicação à ANPD e aos titulares em até três dias úteis, contados do conhecimento pelo controlador, admitida complementação justificada em até vinte dias úteis. Contenção, triagem, preservação de evidências e avaliação de impacto devem começar imediatamente e seguir em paralelo, sem aguardar a conclusão integral da apuração. Um simulado de incidente LGPD ajuda a testar se compliance, jurídico, TI e DPO conseguem agir em conjunto.

Evidência não é guardar tudo para sempre. É manter documentação suficiente para demonstrar boa-fé, necessidade, controle de acesso, decisões de base legal, medidas de proteção e conclusão da investigação. Isso inclui registro de triagem, justificativa para escopo, cadeia de custódia de documentos relevantes, decisões de compartilhamento, relatório final objetivo e registro de eliminação quando aplicável.

A leitura final deve ser simples: quem autorizou, por que autorizou, quem acessou, quais dados foram usados, qual foi a conclusão e o que foi eliminado ou preservado. Essa trilha permite que o canal de denúncias seja auditável sem transformar cada caso em um arquivo ilimitado de informações pessoais. Quando a empresa consegue responder a essas perguntas, reduz risco jurídico e melhora a qualidade da própria apuração.

Como a TOGETHER pode apoiar

A TOGETHER apoia empresas na revisão do canal de denúncias sob a ótica de privacidade, integridade e segurança da informação. Em projetos de consultoria em LGPD, o trabalho pode incluir inventário do fluxo de denúncias, matriz de bases legais, revisão de formulário e política, desenho de perfis de acesso, avaliação de fornecedor, cláusulas contratuais, retenção e roteiro de resposta a incidentes.

No DPO as a Service, a atuação contínua ajuda a manter o processo vivo: apoio em dúvidas de titulares, revisão de casos sensíveis, orientação a compliance e RH, registro de decisões, acompanhamento de incidentes e atualização de evidências. Um canal de denúncias bem estruturado permite investigar com seriedade sem perder de vista que denunciantes, testemunhas e investigados continuam sendo titulares de dados.