Canal de denúncia: proteger a identidade do denunciante ao partilhar o processo
Um canal de denúncia interna pode estar bem montado — plataforma cifrada, acessos separados, possibilidade de denunciar sem se identificar — e, mesmo assim, expor o denunciante. O ponto fraco raramente é a ferramenta de receção. Surge depois, quando o processo começa a circular: é descarregado pelo responsável, reencaminhado para os recursos humanos, anexado a um relatório para a administração ou entregue a uma sociedade de advogados. Em cada cópia seguem nomes, assinaturas de e-mail, metadados e pormenores que permitem adivinhar quem falou. Este artigo resume o que exige o direito português e europeu e propõe um método para preparar os documentos de uma averiguação interna de modo a que cada destinatário veja apenas o que precisa.
O que diz a lei: a identidade e tudo o que permita deduzi-la
A Diretiva (UE) 2019/1937 estabelece no artigo 16.º um dever de confidencialidade: a identidade do denunciante não pode ser divulgada, sem o seu consentimento explícito, a ninguém além do pessoal autorizado a receber ou dar seguimento às denúncias. A proteção abrange também qualquer outra informação a partir da qual a identidade possa ser deduzida, direta ou indiretamente. O artigo 17.º proíbe recolher dados manifestamente irrelevantes e manda apagar sem demora os que sejam recolhidos por acidente.
Em Portugal, a transposição foi feita pela Lei n.º 93/2021, de 20 de dezembro, que aprova o regime geral de proteção de denunciantes de infrações e obriga, entre outras, as entidades com 50 ou mais trabalhadores a ter canais de denúncia interna. Para o tratamento documental, importam sobretudo:
- Artigo 18.º (confidencialidade): a identidade do denunciante e as informações que, direta ou indiretamente, permitam deduzi-la são confidenciais e de acesso restrito às pessoas responsáveis por receber ou dar seguimento às denúncias. A obrigação estende-se a quem tiver recebido informações sobre denúncias, mesmo sem ser o responsável. A identidade só é divulgada por obrigação legal ou decisão judicial, com comunicação escrita prévia ao denunciante, salvo se comprometer a investigação.
- Artigo 19.º (dados pessoais): remete para o RGPD e para a Lei n.º 58/2019; os dados manifestamente irrelevantes não são conservados e devem ser imediatamente apagados.
- Artigo 20.º (conservação): as denúncias são registadas e conservadas, pelo menos, durante cinco anos e, independentemente desse prazo, enquanto houver processos judiciais ou administrativos pendentes.
No plano institucional, o Mecanismo Nacional Anticorrupção (MENAC) acompanha o regime de prevenção da corrupção e a CNPD supervisiona o tratamento de dados. A consequência prática é a mesma em qualquer caso: não chega riscar o nome na primeira página. É preciso reler todo o processo com uma pergunta em mente — alguém que conheça a organização conseguiria descobrir quem denunciou a partir disto?
Por onde a identidade escapa de um processo de denúncia
Um processo típico junta o formulário de receção, e-mails trocados com o denunciante, capturas de ecrã, folhas de cálculo (registos de assiduidade, despesas, acessos), atas de entrevistas e, por vezes, páginas digitalizadas com notas manuscritas. As fugas mais comuns:
- Identificadores diretos: nome, número de colaborador, e-mail profissional, extensão telefónica, assinatura numa ata.
- Cabeçalhos e assinaturas de e-mail: um .msg ou .eml reencaminhado mantém remetente, destinatários, cargo e serviço.
- Metadados: o campo «Autor» de um Word ou PDF, o controlo de alterações, comentários ocultos. Saiba mais em metadados ocultos em Word e PDF.
- Identificadores indiretos: «a única chefe de turno da noite no armazém de Braga», a data de uma baixa médica, um projeto concreto, uma frase que só quem esteve na reunião poderia escrever.
- Capturas de ecrã: utilizador com sessão iniciada, fotografia de perfil, nome do computador na barra de tarefas.
- Falsa rasura: retângulos pretos desenhados sobre um PDF, deixando o texto por baixo selecionável.
Um destinatário, uma versão
A regra mais segura é preparar uma versão por destinatário e registar quem recebeu o quê. Exemplo indicativo (fictício) para uma denúncia de assédio:
| Destinatário | O que precisa | Versão recomendada |
|---|---|---|
| Responsável pelo canal interno | Tudo, para avaliar e dirigir a averiguação | Original integral, acesso restrito |
| Instrutor ou comissão de averiguação | Factos, provas, testemunhas; nem sempre a identidade do denunciante | Pseudonimizada («Denunciante-1», «Testemunha-A»), tabela de correspondência guardada à parte |
| Recursos humanos, se houver processo disciplinar | Factos apurados e pessoa visada | Pseudonimizada, sem o denunciante nem terceiros alheios |
| Advogado ou auditor externo | Conduta e documentação de prova | Pseudonimizada ou anonimizada, consoante o mandato |
| Administração, relatório anual | Tendências e medidas adotadas | Anonimizada e agregada |
| Tribunal ou Ministério Público | O que a autoridade solicitar | Nos termos da ordem, com aviso escrito prévio ao denunciante |
A pseudonimização é muito útil durante a averiguação: substituir cada pessoa por uma etiqueta constante mantém o relato legível e permite cruzar depoimentos sem expor ninguém. Mas um dado pseudonimizado continua a ser um dado pessoal; a diferença é explicada em anonimizar ou pseudonimizar.
Método para preparar os documentos
Antes de o processo sair do responsável pelo canal
- Inventariar identificadores diretos e indiretos do denunciante, da pessoa visada e das testemunhas.
- Decidir, para cada destinatário, quem deve continuar identificável (normalmente só a pessoa visada).
- Pseudonimizar de forma coerente e guardar a tabela de correspondência cifrada e separada do documento.
- Rever anexos de e-mails, folhas de cálculo (incluindo colunas ocultas) e imagens, não só o texto.
- Remover metadados, comentários e versões anteriores antes de exportar.
- Testar o PDF final: tentar selecionar e copiar o texto rasurado.
- Pedir uma segunda revisão a alguém que conheça a organização e detete pistas indiretas.
- Registar que versão foi entregue, a quem e com que finalidade.
Há dois pontos que costumam escapar. O primeiro é o relato: «como disse à minha chefe na reunião de terça-feira» identifica mais do que um nome, pelo que algumas passagens têm de ser reformuladas e não apenas tapadas. O segundo são os terceiros sem relação com os factos (familiares, clientes, colegas mencionados de passagem), que o artigo 19.º manda apagar. No encerramento, anonimizar o processo permite conservar o conhecimento útil sem manter dados identificáveis além do necessário, desde que as combinações de data, local e função não permitam a reidentificação.
Onde entra o Anonimatum
O Anonimatum permite produzir estas versões sem rasurar à mão. A pseudonimização substitui cada pessoa pelo mesmo alias em todo o documento e guarda a tabela de correspondência cifrada, reversível apenas por quem a detém. A IA própria deteta nomes, organizações, datas, moradas e montantes, e os padrões identificam e-mails, telefones ou IBAN; antes de aplicar, uma pessoa revê a pré-visualização e pode desenhar zonas manuais sobre assinaturas ou carimbos. Trata PDF (também digitalizados), Word, Excel, imagens e e-mails com anexos, remove metadados e mantém o formato original. O processamento decorre em servidores na União Europeia, sem enviar o texto para APIs externas de modelos de linguagem; veja a página de segurança. Compare os planos e comece já online.
Perguntas frequentes
A pessoa visada pode descobrir o denunciante através do direito de acesso?
Tem direito aos seus próprios dados, mas não à identidade do denunciante, que o artigo 18.º da Lei 93/2021 torna confidencial e de acesso restrito. A cópia entregue deve ser expurgada de tudo o que o permita identificar.
Basta retirar o nome do denunciante?
Não. A lei protege também as informações que permitam deduzir a identidade: cargo, turno, datas, assinaturas de e-mail, metadados ou o estilo do relato.
Durante quanto tempo se conservam as denúncias?
Pelo menos cinco anos e, independentemente desse prazo, enquanto houver processos judiciais ou administrativos pendentes (artigo 20.º). A conservação deve respeitar sempre a confidencialidade e a minimização.