Dejan Jasnic · Co-fundador e Compliance Lead, Trusty · Mais de 20 anos em anti-fraude e compliance · ACFE Swiss Chapter Board
Na maioria dos casos, sim. Um canal de denúncias trata dados sensíveis sobre os denunciantes, as pessoas visadas e as testemunhas, pelo que cumpre normalmente o critério do RGPD de um tratamento «suscetível de implicar um elevado risco», que obriga a uma avaliação de impacto sobre a proteção de dados (AIPD). Alguns países preveem-no expressamente: o decreto italiano sobre whistleblowing exige uma AIPD e a autoridade francesa de proteção de dados (CNIL) inclui os sistemas de denúncia entre os tratamentos que a exigem sempre. Onde nenhuma norma o diz, os critérios de risco elevado das autoridades de controlo apontam no mesmo sentido. A AIPD deve ser feita antes de o canal de denúncias entrar em funcionamento e revista sempre que este mude.
Este guia explica quando é exigida uma AIPD, o que esta deve abranger num canal de denúncias e as lacunas mais frequentes. Para o enquadramento legal mais amplo, consulte o nosso guia sobre legislação de whistleblowing na UE.
no canal
Um canal de denúncias concebido em torno da confidencialidade. O Trusty Whistleblowing oferece uma caixa de entrada anónima e bidirecional, um registo de auditoria completo, prazos de conservação configuráveis e um contrato de tratamento de dados para cada cliente.
Porque é que um canal de denúncias é uma questão de proteção de dados
Um canal de denúncias serve para recolher informações sobre possíveis irregularidades. Essa informação corresponde quase sempre a dados pessoais: sobre a pessoa que denuncia, a pessoa acusada, e colegas ou testemunhas mencionados ao longo do processo.
Três características tornam este tratamento sensível:
- Dados de categorias especiais e dados criminais. As denúncias podem revelar informações sobre saúde, filiação sindical ou vida sexual, que constituem categorias especiais de dados nos termos do artigo 9.º do RGPD. Muitas denúncias descrevem eventuais infrações, o que remete para o artigo 10.º, relativo a dados sobre condenações penais e infrações.
- Pessoas que não sabem que foram identificadas. A pessoa visada por uma denúncia normalmente só toma conhecimento disso tardiamente, se é que chega a tomar, e tem pouco controlo sobre o que é registado a seu respeito.
- Um dever legal de confidencialidade. O artigo 16.º da Diretiva (UE) 2019/1937 exige que a identidade do denunciante não seja revelada para além do pessoal autorizado que trata as denúncias, sem o seu consentimento explícito. Isto abrange também qualquer informação a partir da qual a sua identidade possa ser deduzida.
A Diretiva estabelece também que os dados pessoais manifestamente irrelevantes para uma denúncia não devem ser recolhidos ou, caso o tenham sido por acidente, devem ser eliminados sem demora injustificada (artigo 17.º). Estes deveres têm de ser incorporados na conceção do canal. É na AIPD que se demonstra como isso é feito.
Quando é exigida uma AIPD
O artigo 35.º, n.º 1, do RGPD exige uma AIPD antes de qualquer tratamento suscetível de resultar num elevado risco para os direitos e liberdades das pessoas. O artigo 35.º, n.º 3, enumera três casos em que esta é sempre exigida, incluindo o tratamento em grande escala de dados de categorias especiais ou relativos a infrações penais.
Para os restantes casos, as orientações sobre a AIPD do Grupo de Trabalho do Artigo 29.º (WP248 rev.01) estabelecem nove critérios. Como regra geral, um tratamento que cumpra dois destes critérios exigirá, na maioria dos casos, uma AIPD. Um canal de denúncias cumpre normalmente pelo menos dois: dados sensíveis ou de natureza altamente pessoal, e titulares de dados vulneráveis, categoria que, segundo as orientações, inclui os trabalhadores.
Em alguns países, a questão é resolvida por regras nacionais. Cada autoridade de proteção de dados (APD) deve publicar uma lista dos tratamentos que exigem uma AIPD (artigo 35.º, n.º 4, do RGPD). A nossa análise das listas e orientações relacionadas revelou:
País | Posição sobre os canais de denúncia | Fonte |
|---|---|---|
França | A lista da CNIL inclui o tratamento para gestão de alertas e denúncias profissionais | Deliberação da CNIL n.º 2018-327 |
Polónia | A lista da UODO menciona os sistemas de denúncia de irregularidades (whistleblowing) como exemplo | Lista de AIPD da UODO |
Itália | Não consta da lista do Garante, mas o decreto sobre whistleblowing exige que o modelo de denúncia se baseie numa AIPD | Decreto Legislativo 24/2023, artigo 13.º, n.º 6 |
Alemanha | Não consta da lista nacional, mas as orientações da DSK sobre linhas de whistleblowing indicam que é necessária uma AIPD devido ao risco particularmente elevado | DSK Orientierungshilfe (2018) |
Espanha, Bélgica, Países Baixos, Irlanda | Não constam das listas nacionais, pelo que se aplicam os critérios gerais | Listas nacionais de AIPD |
Se concluir que não é necessária uma AIPD, documente a sua fundamentação. Os grupos que gerem um único canal em vários países devem verificar cada regra nacional: o nosso guia sobre whistleblowing para empregadores multinacionais explica como fazê-lo.
acesso claro
Mantenha as denúncias afastadas de quem não deve vê-las. O Trusty oferece SSO em todos os planos, autenticação de dois fatores a partir do plano Standard e permissões baseadas em funções no plano Advanced, com um registo de auditoria completo de quem fez o quê.
O que deve abranger a AIPD de um canal de denúncias
O artigo 35.º, n.º 7, do RGPD estabelece o conteúdo mínimo: uma descrição sistemática do tratamento e das suas finalidades, uma avaliação da necessidade e proporcionalidade, uma avaliação dos riscos para as pessoas em causa, e as medidas previstas para fazer face a esses riscos. Para um canal de denúncias, analise os seguintes pontos:
- Finalidade e fundamento legal. Receber e dar seguimento a denúncias ao abrigo da legislação nacional de whistleblowing. Para os empregadores obrigados a ter um canal, trata-se geralmente do cumprimento de uma obrigação legal.
- Categorias de dados. Identidade e dados de contacto, caso o denunciante os forneça, o conteúdo da denúncia, provas, notas de entrevistas, e quaisquer dados de categorias especiais ou relativos a infrações penais.
- Direitos de acesso e funções. Identifique as funções: o responsável pela gestão das denúncias, um substituto para situações de conflito de interesses, os investigadores. Todas as restantes pessoas, incluindo a equipa de TI e a direção, não devem ter acesso regular.
- Prazos de conservação. Defina um período para cada fase. A Itália permite a conservação dos registos por um período máximo de cinco anos a contar do resultado final. A Espanha exige a eliminação dos dados do sistema ao fim de três meses, caso não tenha sido iniciada qualquer investigação, salvo se forem conservados para demonstrar o funcionamento do sistema, estabelecendo um limite absoluto de dez anos. A sua política de whistleblowing deve indicar o período escolhido.
- Direitos do denunciante e da pessoa visada. Como são informadas as pessoas nos termos dos artigos 13.º e 14.º do RGPD, em que situações a informação à pessoa visada pode ser diferida, e como são tratados os pedidos de acesso sem revelar a identidade do denunciante.
- Segurança. Encriptação, autenticação, registo de atividade, localização de alojamento, e como se mantém o anonimato dos denunciantes anónimos.
- Subcontratantes. Se um fornecedor de software alojar o canal, atua como seu subcontratante e é necessário um contrato nos termos do artigo 28.º do RGPD. O decreto italiano exige isto expressamente.
Como realizar uma AIPD na prática
- Mapear o processo. Acompanhe uma denúncia desde a sua submissão até à eliminação, incluindo denúncias orais e reuniões.
- Envolver o EPD desde o início. O artigo 35.º, n.º 2, do RGPD exige que o responsável pelo tratamento solicite o parecer do encarregado da proteção de dados (EPD), caso exista um nomeado.
- Identificar os riscos. Por exemplo: o denunciante é identificado através de metadados, um gestor acusado numa denúncia consegue lê-la, ou os dados são conservados indefinidamente.
- Escolher as medidas. Associe cada risco a um controlo e registe quem é o responsável por ele.
- Aprovar e rever. A direção aceita o risco residual com base no parecer do EPD. Reveja a AIPD sempre que mudar de fornecedor, adicionar um país ou abrir um novo canal.
Em Itália, as orientações de 2025 da ANAC, a autoridade nacional anticorrupção, acrescentam dois pontos úteis. O responsável pelo tratamento pode basear-se no apoio do fornecedor de software para a AIPD. E o correio eletrónico comum ou o correio eletrónico certificado (PEC) são, por si só, considerados inadequados para proteger a confidencialidade, salvo se forem identificadas na AIPD contramedidas específicas e justificadas. Para uma visão mais ampla, consulte proteção de dados e conformidade.
Lacunas comuns
- Prazo de conservação indefinido. “O tempo necessário” não é um prazo de conservação. Defina um para cada fase e garanta que o sistema o aplica.
- Demasiadas pessoas com acesso. Caixas de correio partilhadas, caixas de entrada de RH e contas de administrador frequentemente permitem que mais pessoas vejam as denúncias do que o previsto na regra sobre pessoal autorizado.
- Ausência de contrato de subcontratação. Recorrer a um fornecedor sem um contrato nos termos do artigo 28.º constitui, por si só, uma lacuna.
- A pessoa visada é esquecida. Muitas AIPD centram-se no denunciante. A pessoa identificada numa denúncia também tem direitos, e a avaliação deve explicar como estes são respeitados.
- Elaborada uma vez, nunca revista. Uma AIPD elaborada no lançamento do canal não refletirá novos países, novos responsáveis pelo tratamento das denúncias ou um novo fornecedor.
Como o Trusty Whistleblowing ajuda
O Trusty Whistleblowing concretiza os controlos que uma AIPD exige. Os dados são alojados num centro de dados certificado ISO 27001 na Alemanha, as ligações e comunicações são encriptadas, e não são armazenados endereços IP. Os denunciantes podem permanecer anónimos e continuar o diálogo através de uma caixa de entrada segura.
Todos os planos incluem SSO, um registo de auditoria completo e registos de casos invioláveis, com autenticação de dois fatores a partir do plano Standard e permissões baseadas em funções no plano Advanced. Os prazos de conservação são configuráveis, com lembretes de eliminação, e um contrato de tratamento de dados está disponível para todos os clientes.
Procura um software de whistleblowing? O Trusty configura um canal de denúncias interno a partir de 49 € por mês.
Este artigo constitui informação de carácter geral e não aconselhamento jurídico. Fontes: Regulamento (UE) 2016/679 (RGPD); Diretiva (UE) 2019/1937; Grupo de Trabalho do Artigo 29.º, WP248 rev.01; CNIL, lista de tratamentos que exigem uma AIPD; Lista de AIPD da UODO; Lista de AIPD do Garante; Decreto Legislativo 24/2023; DSK, Orientierungshilfe Whistleblowing-Hotlines; Lista de AIPD da AEPD; Lei 2/2023; ANAC, Linee Guida n.º 1/2025.
Perguntas frequentes
Em alguns países é exigida expressamente, por exemplo em Itália ao abrigo do Decreto Legislativo 24/2023 e em França ao abrigo da lista da CNIL. Nos restantes casos, um canal de denúncias cumpre geralmente pelo menos dois dos critérios de alto risco dos reguladores, o que na maioria dos casos significa que é exigida uma AIPD.
O responsável pelo tratamento, ou seja, a organização que gere o canal, é quem detém essa responsabilidade. Deve solicitar o parecer do seu encarregado da proteção de dados, caso exista um nomeado, e pode pedir ao fornecedor de software os detalhes técnicos.
O RGPD não fixa um período determinado, pelo que cabe à legislação nacional e à sua AIPD decidir. A Itália permite até cinco anos a contar do resultado final. A Espanha estabelece um limite absoluto de dez anos e exige a eliminação ao fim de três meses, caso não tenha sido iniciada qualquer investigação.
Sim, em princípio, mas esse direito pode ser restringido para proteger a identidade do denunciante. A CNIL francesa e a DSK alemã confirmam este direito, permitindo simultaneamente que a identidade do denunciante seja ocultada, e a legislação italiana limita-o quando tal possa prejudicar a confidencialidade do denunciante.
Não. A organização continua a ser o responsável pelo tratamento e deve, mesmo assim, realizar a AIPD. O fornecedor atua como subcontratante ao abrigo de um contrato nos termos do artigo 28.º e pode fornecer as informações técnicas necessárias.
com a Diretiva da UE e o RGPD
Software de denúncia simplificado, criado por especialistas em conformidade.