Resposta direta: a LGPD, Lei nº 13.709/2018, obriga toda empresa a tratar os dados do denunciante e do denunciado com base legal específica durante uma apuração interna. Além disso, é preciso aplicar minimização de coleta e restringir o acesso às informações. Essa regra vale para denúncias de assédio, fraude, conflito de interesse ou violação ao código de ética. Portanto, empresas que tratam esses dados sem critério ficam expostas a sanções da ANPD. Nesse caso, a multa pode chegar a 2% do faturamento, com teto de R$ 50 milhões por infração.
Toda investigação corporativa nasce de um dilema real. Por um lado, é preciso apurar rápido, para conter o dano. Por outro lado, é preciso ter cuidado, para não criar um passivo jurídico novo. Quando o RH ou o jurídico interno recebe uma denúncia, o instinto natural é reunir provas. Em seguida, o time ouve testemunhas e registra cada detalhe do caso. Porém, cada um desses passos envolve dados pessoais. Às vezes, envolve também dados sensíveis, como saúde ou orientação sexual. Por isso, a LGPD não abre exceção só porque a intenção da empresa é correta.
Este guia mostra, na prática, como tratar os dados do denunciante e do denunciado durante uma apuração interna. Além disso, explica os riscos financeiros do improviso nesse processo. Por fim, apresenta um passo a passo pronto para o Compliance aplicar ainda esta semana. Assim, o objetivo é simples: reduzir risco jurídico e, ao mesmo tempo, manter a confiança de quem denuncia.
O Cenário Atual e as Exigências Legais
Desde 2020, a LGPD exige base legal para qualquer tratamento de dado pessoal. Assim, a apuração de denúncias corporativas não é exceção a essa regra. Na prática, a base mais usada nesses casos é o legítimo interesse do controlador, prevista no art. 7º, IX da lei. Contudo, essa base tem limites claros. Por exemplo, ela exige um teste de proporcionalidade documentado pela empresa. Além disso, o legítimo interesse não autoriza a coleta indiscriminada de dados sem relação direta com os fatos apurados.
Muitas empresas ainda tratam a apuração de denúncias como um processo puramente trabalhista. Esse é um erro comum e arriscado. Na verdade, o processo cruza pelo menos três áreas do direito ao mesmo tempo: trabalhista, proteção de dados e, em muitos casos, direito penal. Ou seja, ignorar a camada de dados pessoais deixa a empresa exposta em uma frente que, hoje, é fiscalizada com rigor crescente pela ANPD.
Além da LGPD, a Lei nº 14.457/2022 e a nova NR-1 reforçaram a obrigatoriedade de canais de denúncia estruturados. Essas normas cobrem principalmente riscos psicossociais e assédio no ambiente de trabalho. Dessa forma, a empresa é cobrada por duas frentes ao mesmo tempo. Por um lado, ela precisa investigar, por exigência trabalhista. Por outro, precisa proteger dados, por exigência da LGPD. Assim, ignorar qualquer um dos dois lados gera risco real. Aliás, nosso artigo sobre os limites do RH ao investigar sozinho detalha exatamente onde essa fronteira legal costuma ser cruzada.
Nos últimos anos, a ANPD passou a fiscalizar com mais rigor o tratamento de dados em processos internos. Por exemplo, a autoridade já publicou orientações específicas sobre incidentes de segurança e sobre o tratamento de dados de empregados. Assim, deixar de documentar a base legal de uma apuração deixou de ser um risco teórico. Hoje, é um risco concreto de autuação. Portanto, empresas de todos os portes precisam tratar esse tema com a mesma prioridade dada ao cumprimento trabalhista.
Dados do Denunciante: Sigilo Não é Opcional
O nome do denunciante é, por si só, um dado pessoal protegido. Em muitos casos, ele está associado a um dado sensível, como orientação sexual, saúde mental ou convicção religiosa. Ou seja, tudo depende do teor da denúncia registrada. Por isso, o acesso a essa informação deve ser restrito a um grupo mínimo de pessoas. Em geral, esse grupo é o comitê de ética ou o responsável direto pela apuração. Além disso, divulgar a identidade do denunciante para terceiros configura tratamento irregular de dados. Isso vale inclusive para o denunciado, sem necessidade estrita. Consequentemente, além do risco de multa, essa exposição pode caracterizar retaliação, o que agrava ainda mais o passivo da empresa.
Dados do Denunciado: Presunção de Inocência Também é Regra de Dados
O denunciado também é titular de dados e mantém direitos durante toda a apuração. Ou seja, a empresa não pode armazenar informações sobre ele além do necessário. Também não deve compartilhar o andamento da investigação com colegas fora do processo. Consequentemente, times de RH que comentam uma apuração em andamento, mesmo informalmente, já estão tratando dados de forma inadequada. Aliás, esse tipo de comentário informal é, na prática, uma das causas mais comuns de nulidade de processos disciplinares no Brasil.
Consequências Práticas e Financeiras do Improviso
Apurar uma denúncia sem protocolo de dados custa caro. Por exemplo, o custo aparece de três formas principais: multa da ANPD, indenização trabalhista por dano moral e nulidade da própria investigação. Um comitê de ética que vaza a identidade de um denunciante, por exemplo, pode anular todo o processo disciplinar aplicado ao denunciado. Isso acontece mesmo quando a denúncia original era verdadeira e bem fundamentada.
Além disso, o dano reputacional é praticamente imediato. Um vazamento de dados durante uma apuração interna transmite uma mensagem perigosa. Ou seja, ela diz, na prática, que a empresa não protege quem denuncia. Como resultado, o volume de denúncias legítimas tende a cair nos ciclos seguintes. Por isso, investir em um processo estruturado não deve ser visto como custo. Trata-se, na verdade, de proteção direta do próprio canal de denúncias e da reputação da marca empregadora.
Há ainda um terceiro efeito, menos discutido: o custo do retrabalho. Quando uma investigação é anulada por falha no tratamento de dados, a empresa precisa recomeçar o processo do zero. Nesse meio tempo, o denunciado pode continuar exposto a um ambiente hostil. Ou, em sentido oposto, pode permanecer impune por meses. Assim, nenhum dos dois cenários é bom para a cultura organizacional.
Para dimensionar o problema, pense em uma empresa de médio porte, com faturamento anual de R$ 40 milhões. Nesse caso, uma única infração grave da LGPD pode gerar multa de até R$ 800 mil. Esse valor, sozinho, já supera o custo de anos de um programa de compliance estruturado. Portanto, o argumento financeiro deveria bastar para convencer qualquer diretoria a investir em prevenção.
Improviso Interno x Apuração Estruturada em Compliance
| Critério | Apuração Improvisada | Apuração Estruturada |
|---|---|---|
| Base legal do tratamento | Não definida ou genérica | Legítimo interesse documentado e testado |
| Acesso aos dados | Aberto a gestores e RH em geral | Restrito ao comitê de ética |
| Registro da cadeia de custódia | Inexistente | Documentado passo a passo |
| Risco de nulidade jurídica | Alto | Baixo |
| Exposição à multa da ANPD | Alta | Controlada |
Como Estruturar o Processo do Jeito Certo
Estruturar a apuração interna em conformidade com a LGPD exige um protocolo claro. Esse protocolo deve valer desde o primeiro contato com a denúncia até o arquivamento final do caso. A seguir, veja o passo a passo que recomendamos para empresas de médio e grande porte.
Passo 1: Defina a Base Legal Antes de Investigar
Antes de abrir qualquer apuração, documente formalmente qual base legal da LGPD ampara o tratamento dos dados envolvidos. Na maioria dos casos, será o legítimo interesse. Em situações específicas, ele pode se somar ao cumprimento de obrigação legal, quando a NR-1 ou a Lei 14.457/22 exigirem a investigação. Assim, esse registro protege a empresa caso a ANPD questione o processo posteriormente. Sem esse passo, toda a apuração fica juridicamente vulnerável desde o início.
Passo 2: Restrinja o Acesso e Aplique a Minimização
Crie um grupo fechado de acesso às informações da apuração. Esse grupo deve incluir apenas quem participa diretamente da investigação. Além disso, colete somente os dados relevantes para os fatos denunciados, nada além disso. Por exemplo, não é necessário acessar o histórico de saúde de um colaborador para apurar uma denúncia de assédio moral. A exceção ocorre apenas quando esse dado é estritamente relevante ao caso concreto.
Passo 3: Documente a Cadeia de Custódia
Registre cada etapa da apuração: quem acessou o quê, quando e por qual motivo. Esse registro é chamado de cadeia de custódia. Assim, ele é o que garante validade jurídica ao processo, especialmente se resultar em demissão por justa causa. Sem esse cuidado, a defesa do denunciado pode alegar nulidade. Consequentemente, isso pode reverter toda a decisão tomada pela empresa, mesmo que os fatos apurados fossem graves. Aliás, o artigo sobre investigação corporativa passo a passo aprofunda esse ponto com exemplos práticos.
Passo 4: Garanta os Direitos dos Titulares
Tanto o denunciante quanto o denunciado têm direitos previstos na LGPD. Entre eles estão a confirmação de tratamento e o acesso aos próprios dados. Esses direitos devem ser respeitados sem comprometer o sigilo necessário à investigação. Por isso, a empresa deve ter um processo claro para responder a essas solicitações. Assim, esse processo precisa funcionar mesmo com a apuração ainda em andamento.
Passo 5: Avalie Terceirizar a Apuração Sensível
Em casos de maior sensibilidade, como denúncias contra membros da alta liderança, a apuração interna pode ficar comprometida. O motivo, geralmente, é o conflito de interesse entre investigador e investigado. Nesses casos, terceirizar a investigação para um canal especializado reduz o risco de vazamento. Além disso, fortalece a defesa da empresa em um eventual processo judicial. Portanto, para entender esse modelo na prática, fale com um especialista da Easy Report.
Perguntas Frequentes (FAQ)
A empresa pode revelar o nome do denunciante ao denunciado?
Em regra, não. O sigilo da identidade do denunciante deve ser mantido durante toda a apuração. Contudo, a exceção ocorre em situações previstas em lei, ou quando a exposição é indispensável ao contraditório. Mesmo assim, essa decisão exige avaliação jurídica prévia, feita caso a caso pelo comitê responsável.
Quais dados podem ser coletados durante uma investigação de assédio?
Apenas os dados diretamente relacionados aos fatos denunciados, como mensagens, e-mails corporativos e depoimentos de testemunhas. Dados sensíveis e informações não relacionadas ao caso não devem ser acessados. Aliás, essa é uma exigência direta do princípio da minimização, previsto na LGPD. Portanto, quanto mais focada a coleta, menor o risco jurídico da apuração.
Qual é a multa da ANPD por má gestão de dados em uma apuração interna?
A LGPD prevê multa de até 2% do faturamento da empresa no Brasil. O teto é de R$ 50 milhões por infração. Além da multa, a ANPD pode determinar o bloqueio e a eliminação dos dados tratados de forma irregular.
É obrigatório ter um canal de denúncias formal para cumprir a LGPD?
A LGPD, isoladamente, não exige um canal específico para denúncias. Porém, a Lei 14.457/22 e a nova NR-1 tornam essa estrutura obrigatória para riscos psicossociais. Assim, um canal formal facilita o cumprimento simultâneo das duas legislações. Veja mais no nosso canal do YouTube da Compliance for Business.
Conclusão: Proteja Dados, Proteja a Empresa
Tratar corretamente os dados do denunciante e do denunciado não é apenas uma exigência formal da LGPD. Na verdade, esse cuidado é o que garante validade jurídica à apuração. Além disso, preserva a confiança de todos os colaboradores no canal de denúncias da empresa. Assim, empresas que agem de forma preventiva evitam multas e processos trabalhistas. Também evitam a nulidade de investigações que, muitas vezes, levaram meses para serem concluídas.
A Easy Report, da C4B, Compliance for Business, oferece uma estrutura completa para apuração de denúncias em conformidade com a LGPD e a NR-1. O serviço inclui sigilo reforçado, cadeia de custódia documentada e suporte especializado em todas as etapas. Portanto, agende uma demonstração e fale com nossos especialistas para estruturar esse processo na sua empresa, com segurança e agilidade.
