Diretiva Europeia de Proteção a Denunciantes: o que toda empresa precisa de saber

Qualquer empresa privada com 50 ou mais trabalhadores, e todas as entidades públicas independentemente da dimensão, são legalmente obrigadas a operar um canal interno de denúncias ao abrigo da Diretiva (UE) 2019/1937 — com um prazo de 7 dias para confirmar a receção das denúncias e 3 meses para as resolver.

Principais conclusões

• A Diretiva aplica-se a empresas privadas com 50+ trabalhadores e a todas as entidades públicas, independentemente da dimensão.
• As denúncias têm de ser confirmadas no prazo de 7 dias e ter retorno no máximo em 3 meses.
• A denúncia anónima não é obrigatória pela Diretiva em si, mas várias leis nacionais (Portugal, Alemanha) exigem-na.
• As penalizações por incumprimento têm de ser "efetivas, proporcionadas e dissuasivas" (artigo 23.º) — na prática incluem coimas e, nalguns países, responsabilidade penal por retaliação.
• Cada Estado-Membro transpôs a Diretiva com as suas especificidades — um canal genérico não chega se ignorar os requisitos locais.

Quem deve cumprir

A Diretiva (UE) 2019/1937, adotada em outubro de 2019, estabelece uma base europeia comum para proteger quem denuncia infrações ao direito da UE detetadas num contexto profissional. O seu âmbito é intencionalmente amplo:

• Empresas privadas com 50 ou mais trabalhadores — o limiar que abrange a maioria das médias e grandes empresas.
• Todas as entidades públicas, incluindo, nalguns Estados-Membros, municípios com menos de 10.000 habitantes, sem limiar mínimo de trabalhadores.
• Setores regulados específicos (serviços financeiros, segurança dos transportes, branqueamento de capitais), mesmo abaixo do limiar de 50 trabalhadores, porque legislação setorial da UE já exigia mecanismos de denúncia.

Empresas entre 50 e 249 trabalhadores beneficiaram de um prazo de transposição posterior em vários Estados-Membros, mas esse período já expirou em quase todo o lado — o incumprimento já não é uma questão de "ainda não", é uma exposição legal real.

Os dois prazos legais: 7 dias e 3 meses

É aqui que as equipas de compliance mais falham, porque não é um prazo, são dois, e são sequenciais:

1. Confirmação de receção — a organização tem de confirmar ao denunciante que a denúncia foi recebida, no prazo de 7 dias de calendário.
2. Retorno sobre a denúncia — no máximo 3 meses após a confirmação (não a partir da submissão original), a organização tem de dar um retorno útil ao denunciante: que medidas foram tomadas ou estão previstas, e porquê.

Falhar qualquer um dos prazos não é apenas uma falha processual — na maioria das transposições é sancionável de forma independente, e corrói o principal fator que determina se os trabalhadores usam mesmo o canal interno em vez de escalar externamente para um regulador ou a imprensa: a confiança de que algo vai acontecer.

Denúncia anónima: o que a Diretiva realmente exige

A Diretiva protege a confidencialidade da identidade do denunciante em todos os casos — isso não é negociável. O que fica ao critério dos Estados-Membros é se as organizações também têm de aceitar denúncias totalmente anónimas (em que a identidade nunca é captada, nem internamente).

• Portugal (Lei n.º 93/2021) e a Alemanha (HinSchG) exigem que as organizações aceitem e processem denúncias anónimas.
• Outros Estados-Membros deixam-no opcional, mas permitem-no — e, na prática, oferecer anonimato aumenta significativamente o volume de denúncias, porque remove o principal motivo pelo qual os trabalhadores se calam: o medo de serem identificados.

Um canal que só suporta denúncia confidencial (não anónima) é conforme nalguns países e não conforme noutros — o que é relevante de imediato para qualquer empresa que opere em vários países.

Penalizações por incumprimento

O artigo 23.º da Diretiva exige que os Estados-Membros estabeleçam sanções "efetivas, proporcionadas e dissuasivas" contra:

• Pessoas singulares ou coletivas que dificultem ou tentem dificultar a denúncia.
• Quem retalie contra um denunciante.
• Quem viole o dever de confidencialidade da identidade do denunciante.
• Organizações que não criem ou mantenham o canal interno exigido.

Os valores exatos variam por Estado-Membro — alguns fixam intervalos de coimas administrativas, outros associam as coimas ao volume de negócios da empresa, e vários preveem responsabilidade penal especificamente para a retaliação contra denunciantes. O que é constante em todo o lado é que "não tínhamos canal" é tratado como agravante, não como defesa.

Transposições nacionais num relance

Todos os Estados-Membros transpuseram a Diretiva, mas os detalhes divergem — prazos, exigências de anonimato e estruturas de penalização não são idênticos de Lisboa a Helsínquia. Alguns exemplos: a Lei n.º 93/2021 (Portugal), o HinSchG (Alemanha), a Loi Waserman (França), a Ley 2/2023 (Espanha) e o D.Lgs. 24/2023 (Itália) acrescentam especificidades locais à base europeia. Um canal genérico, pensado para "conformidade com a UE" em abstrato, falha frequentemente pelo menos um destes requisitos locais — exatamente a lacuna que uma plataforma multi-jurisdição, construída para este fim, resolve.

Como a Vaelo ajuda a cumprir em minutos, não meses

A Vaelo é uma plataforma de denúncias alojada, construída especificamente em torno desta Diretiva e das suas transposições nacionais. Disponibiliza um canal de denúncias com marca própria e capacidade de anonimato ativo em minutos — com os prazos de 7 dias e 3 meses monitorizados automaticamente, comunicação anónima bidirecional entre denunciante e investigador, armazenamento encriptado de provas, e um painel de gestão de casos que a sua equipa de compliance consegue realmente usar sob pressão de prazos, nas 24 línguas oficiais da UE.

Perguntas frequentes

Que empresas têm de cumprir a Diretiva Europeia de Proteção a Denunciantes? Qualquer entidade privada com 50 ou mais trabalhadores, e todas as entidades públicas independentemente da dimensão, têm de criar um canal de denúncias interno ao abrigo da Diretiva (UE) 2019/1937.

Qual é o prazo para confirmar a receção de uma denúncia? As organizações têm de confirmar a receção de uma denúncia no prazo de 7 dias e dar retorno ao denunciante no máximo 3 meses após essa confirmação.

A Diretiva exige denúncias anónimas? A Diretiva em si deixa a denúncia anónima opcional ao nível europeu, mas várias transposições nacionais (incluindo Portugal e a Alemanha) exigem que as organizações aceitem denúncias anónimas e protejam a identidade do denunciante de ponta a ponta.

O que acontece se uma empresa não cumprir a Diretiva? O artigo 23.º exige que os Estados-Membros definam sanções efetivas, proporcionadas e dissuasivas; na prática, isto varia entre coimas administrativas e responsabilidade por retaliação contra denunciantes, consoante a lei nacional.