RGPD em investigações internas: tratar os dados de denúncias corretamente

O RGPD (Regulamento (UE) 2016/679) não o impede de investigar uma denúncia — define como o deve fazer. Trata os dados pessoais do denunciante, do denunciado e de eventuais testemunhas com base numa condição de licitude (quase sempre o interesse legítimo ou uma obrigação jurídica), recolhe apenas o que a investigação realmente exige, mantém a identidade do denunciante confidencial e elimina os dados quando deixam de ser necessários. Errar aqui não é um pormenor: pode transformar uma investigação legítima numa violação de dados por si só.

Principais conclusões

• O RGPD permite investigações internas — a base legal é normalmente o interesse legítimo (artigo 6.º, n.º 1, al. f)) ou uma obrigação jurídica (artigo 6.º, n.º 1, al. c)), e não o consentimento do denunciado.
• O denunciado tem direito de acesso (artigo 15.º), mas este não lhe dá o direito de conhecer a identidade do denunciante — o artigo 16.º da Diretiva (UE) 2019/1937 e o limite dos "direitos e liberdades de terceiros" protegem o denunciante.
• Pode adiar a informação ao denunciado sobre o tratamento dos seus dados quando isso comprometer a investigação (artigo 14.º, n.º 5).
• Aplique a minimização dos dados (artigo 5.º, n.º 1, al. c)) e a limitação da conservação (artigo 5.º, n.º 1, al. e)) — recolha apenas dados relevantes e elimine-os quando o caso encerra.
• Um canal de denúncias exige quase sempre uma Avaliação de Impacto sobre a Proteção de Dados (artigo 35.º) antes da entrada em funcionamento.

A base legal é o interesse legítimo — não o consentimento

O primeiro erro das equipas de compliance é tentar fundamentar uma investigação no consentimento. Não é possível: a pessoa investigada não vai consentir livremente em ser investigada, e um consentimento que não pode ser livremente recusado é inválido ao abrigo do RGPD. Em vez disso, o tratamento assenta num de dois fundamentos:

• Interesse legítimo (artigo 6.º, n.º 1, al. f)) — o interesse genuíno da organização em detetar e prevenir irregularidades, ponderado face aos direitos das pessoas cujos dados trata. Este teste de ponderação deve ser documentado antes de o canal entrar em funcionamento.
• Obrigação jurídica (artigo 6.º, n.º 1, al. c)) — quando a lei o obriga a agir, como o dever de operar um canal de denúncias e de dar seguimento às denúncias ao abrigo da Diretiva (UE) 2019/1937, ou as regras setoriais de branqueamento de capitais e criminalidade financeira.

Se uma denúncia envolver categorias especiais de dados (saúde, filiação sindical, opiniões políticas, dados sobre infrações penais), precisa de uma condição adicional ao abrigo do artigo 9.º ou do artigo 10.º — por exemplo que o tratamento é necessário para declarar, exercer ou defender um direito num processo. É precisamente este o tipo de denúncia — assédio, discriminação — em que os canais são mais utilizados.

O direito de acesso do denunciado não anula a confidencialidade do denunciante

O conflito mais agudo em qualquer investigação é este: o denunciado também é um titular de dados e, ao abrigo do artigo 15.º, pode pedir acesso aos dados pessoais que detém sobre ele — incluindo o que foi alegado. Tratado de forma ingénua, um pedido de acesso torna-se uma forma de desmascarar o denunciante.

Não tem de ser assim. A confidencialidade da identidade do denunciante está protegida pelo artigo 16.º da Diretiva (UE) 2019/1937, e o próprio RGPD limita o direito de acesso quando este afetaria os "direitos e liberdades de terceiros". Na prática, divulga o essencial da alegação ao denunciado quando exigido pela equidade, mas oculta tudo o que identificaria o denunciante — nomes, função, datas ou detalhes que só uma pessoa específica conheceria. As transposições nacionais e as autoridades de proteção de dados reforçam-no: a identidade do denunciante não é algo que o denunciado tenha o direito de obter através de um pedido de dados.

Pode ainda adiar a informação ao denunciado de que os seus dados estão a ser tratados, ao abrigo do artigo 14.º, n.º 5, quando a notificação prejudicar gravemente a investigação — por exemplo, alertando o visado antes de a prova estar assegurada. Trata-se de um adiamento, não de uma isenção permanente: a obrigação renasce assim que o risco desaparece.

Minimização e conservação: recolher e guardar só o necessário

Dois princípios regem o ciclo de vida dos dados de uma investigação:

• Minimização dos dados (artigo 5.º, n.º 1, al. c)) — reúna apenas dados adequados, pertinentes e limitados ao que a investigação exige. Copiar em bloco toda a caixa de correio de um trabalhador "por precaução" é o oposto da minimização.
• Limitação da conservação (artigo 5.º, n.º 1, al. e)) — conserve os dados apenas o tempo necessário. O artigo 18.º da Diretiva (UE) 2019/1937 reforça que os registos das denúncias não são conservados por mais tempo do que o necessário e proporcionado.

A regra prática: as denúncias que se revelem infundadas ou manifestamente irrelevantes devem ser eliminadas prontamente, enquanto os casos comprovados são conservados pelo período necessário para defesa em processos ou para cumprir um dever legal de conservação — e depois eliminados. Um calendário de conservação definido, aplicado automaticamente, é muito mais seguro do que uma eliminação avulsa.

Quando é preciso uma Avaliação de Impacto sobre a Proteção de Dados (AIPD)

Um canal de denúncias trata informação sensível sobre pessoas identificáveis, de forma sistemática e muitas vezes em toda a organização. Esse perfil atinge normalmente o limiar do artigo 35.º para uma Avaliação de Impacto sobre a Proteção de Dados — uma análise documentada dos riscos para as pessoas e das medidas que os atenuam. A maioria das autoridades de proteção de dados considera a AIPD para um sistema de denúncias como expectável e não opcional, pelo que a deve elaborar antes do lançamento, não depois de um incidente.

Este é o mesmo trabalho de base de que precisa para o próprio canal. Se ainda está a mapear quem é obrigado e os prazos legais envolvidos, o nosso guia sobre a Diretiva Europeia de Proteção a Denunciantes cobre as obrigações que acompanham estes deveres do RGPD.

Como a Vaelo integra a conformidade com o RGPD em cada investigação

A Vaelo é uma plataforma de denúncias alojada, concebida em torno da Diretiva e do RGPD. A identidade do denunciante é protegida de ponta a ponta com mensagens anónimas bidirecionais, permitindo aos investigadores fazer perguntas de seguimento sem nunca desmascarar a fonte. O acesso a cada caso é baseado em funções e registado, as provas são cifradas e as regras de conservação configuráveis eliminam os dados no prazo definido, para que a limitação da conservação seja aplicada automaticamente e não deixada à memória. O resultado é um fluxo de investigação defensável perante ambas as leis ao mesmo tempo — disponível nos 24 idiomas oficiais da UE.

Perguntas frequentes

Qual é a base legal para tratar dados pessoais numa investigação interna? Quase sempre o interesse legítimo da organização (artigo 6.º, n.º 1, al. f) do RGPD) ou uma obrigação jurídica (artigo 6.º, n.º 1, al. c)) — por exemplo o dever de operar um canal ao abrigo da Diretiva (UE) 2019/1937. Uma investigação de denúncias não deve basear-se no consentimento do denunciado.

O denunciado pode aceder à denúncia ao abrigo do RGPD? Tem direito de acesso nos termos do artigo 15.º do RGPD, mas esse direito não abrange revelar a identidade do denunciante. O artigo 16.º da Diretiva (UE) 2019/1937 e o limite dos "direitos e liberdades de terceiros" permitem ocultar informação que identificaria o denunciante.

É preciso uma AIPD para um canal de denúncias? Na maioria dos casos sim. Um sistema de denúncias trata dados sensíveis sobre pessoas identificáveis, muitas vezes em larga escala, o que normalmente atinge o limiar do artigo 35.º do RGPD — pelo que se espera uma Avaliação de Impacto sobre a Proteção de Dados antes da entrada em funcionamento.

Durante quanto tempo podemos conservar os dados de uma investigação interna? Apenas o tempo necessário e proporcionado (artigo 5.º, n.º 1, al. e) do RGPD e artigo 18.º da Diretiva (UE) 2019/1937). Os dados de denúncias que se revelem infundadas ou manifestamente irrelevantes devem ser eliminados prontamente, e não conservados por defeito.