Canal de denúncias e LGPD: anonimato, base legal e retenção

Denúncia anônima não é dado anonimizado

Um erro comum é achar que, se a denúncia é anônima, a LGPD não se aplica. A LGPD define dado anonimizado (art. 5º, III) como o relativo a titular que não possa ser identificado, considerando os meios técnicos razoáveis disponíveis, e o art. 12 diz que esse dado deixa de ser dado pessoal, salvo se a anonimização puder ser revertida com esforços razoáveis.

Uma denúncia anônima quase nunca cumpre essa definição, por dois motivos:

• Ela fala de outras pessoas. A pessoa denunciada e as testemunhas costumam estar nomeadas ou descritas no relato. Elas também são titulares, e não escolheram estar ali.
• O próprio relato pode identificar quem o escreveu. Um detalhe que só uma pessoa saberia, um horário, um setor pequeno: o anonimato de quem denuncia é uma proteção, não uma garantia de que o texto não aponta para ninguém.

A conclusão prática é que o conteúdo de um canal de denúncias deve ser tratado como dado pessoal, com todas as regras da lei.

Anonimato e pseudonimato

Vale separar dois conceitos que costumam ser misturados. Anonimato, no sentido do art. 23, II, da Lei 14.457/2022, é a garantia de que a empresa não sabe quem denunciou. Pseudonimização, que a LGPD define no art. 13, §4º (no contexto de estudos em saúde pública), é o tratamento em que o dado perde a possibilidade de associação a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador.

A diferença está em quem tem a chave. Num canal pseudonimizado, alguém guarda a tabela que liga o código à pessoa, e o anonimato depende de essa tabela nunca ser consultada. Num canal anônimo de verdade, essa tabela não existe.

Na Ethicos, o caso é ligado a um protocolo e a uma senha, não a uma pessoa. O sistema não pede login, não grava o endereço IP, não grava navegador nem impressão digital do dispositivo, e a senha é guardada com hash irreversível, por isso não há recuperação. Não existe, do lado do sistema, uma informação adicional que ligue o protocolo a alguém. A exceção é deliberada e opcional: quem escolhe se identificar tem nome e contato guardados cifrados, e visíveis ao comitê.

Quem é o controlador

Controlador é quem toma as decisões sobre o tratamento (art. 5º, VI); operador é quem trata em nome dele (art. 5º, VII). Num canal de denúncias contratado, o controlador é a empresa que instituiu o canal: é ela quem decide receber denúncias, quem lê, como apurar e por quanto tempo guardar. O fornecedor da ferramenta, em regra, é operador.

É assim que a política de privacidade da Ethicos descreve a relação: a empresa cliente é a controladora dos relatos e a Ethicos é operadora, com as exceções que a própria política identifica. Na prática, isso significa que a base legal, a política de retenção e as respostas aos pedidos de titular são decisões da empresa, e não de quem fornece o software.

Base legal: arts. 7º e 11

Todo tratamento precisa de uma hipótese legal do art. 7º. E aqui entra o ponto mais importante para um canal: o art. 11, §1º manda aplicar as regras de dado sensível “a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular”. Um relato de assédio pode revelar dado sobre vida sexual, saúde, origem racial, convicção religiosa ou filiação sindical (art. 5º, II), e a exposição dele pode causar dano a mais de uma pessoa. Por isso o canal precisa de uma base que também exista no art. 11.

As hipóteses que costumam fazer sentido são:

• Cumprimento de obrigação legal ou regulatória (art. 7º, II, e, para dado sensível, art. 11, II, “a”). Para empresas com CIPA, a obrigação é o art. 23, II, da Lei 14.457/2022.
• Exercício regular de direitos (art. 7º, VI, e art. 11, II, “d”, que alcança também contrato e processo judicial, administrativo e arbitral), quando o tratamento serve à apuração de um caso concreto ou à defesa da empresa.

E duas que costumam ser escolhas erradas:

• Consentimento. Ele precisa ser livre (art. 5º, XII), o que é difícil numa relação de emprego, e não alcançaria a pessoa denunciada, que evidentemente não consentiu.
• Legítimo interesse (art. 7º, IX). Ele não está entre as hipóteses do art. 11, e portanto não sustenta o tratamento do dado sensível que o relato pode conter.

Uma ressalva honesta: para empresas que não estão obrigadas a ter CIPA, a obrigação do art. 23 não é o fundamento óbvio, e a escolha da base precisa de análise própria. É uma pergunta para o encarregado, não para um post.

Para referência, a política do canal público da Ethicos declara como bases o cumprimento de obrigação regulatória e o exercício regular de direitos, e a política de privacidade detalha os artigos (art. 7º, II, e art. 11, II, “a” e “d”). Ela também diz que não se apoia em consentimento nem em legítimo interesse para o conteúdo dos relatos.

Minimização: o que não coletar

O princípio da necessidade (art. 6º, III) limita o tratamento ao mínimo necessário para a finalidade. Num canal de denúncias, minimização é também proteção do anonimato: cada campo a mais é uma pista a mais sobre quem escreveu.

Algumas perguntas para fazer ao desenhar (ou contratar) o canal:

• O formulário pede matrícula, cargo, setor ou telefone de quem denuncia? Se a denúncia é anônima, por quê?
• O sistema grava endereço IP, navegador ou identificador de dispositivo? Mesmo que só nos registros técnicos?
• Os anexos chegam com o nome original do arquivo e com metadados, como localização e modelo do aparelho?
• Há ferramentas de analytics ou rastreamento na página do canal?

Na Ethicos, as respostas são: nenhum dado pessoal é exigido; o IP é lido de passagem apenas para barrar envios automatizados e não é gravado; os cabeçalhos que identificam navegador e IP são removidos antes de a denúncia chegar ao código que a processa; o nome dos anexos é descartado e os metadados de imagens, áudios e vídeos são removidos. Há limites, e eles estão escritos na página de política do canal: arquivos PDF podem manter metadados quando o sanitizador não está disponível, e o reCAPTCHA do Google, usado contra robôs, recebe do navegador dados que nós não recebemos.

Retenção: por quanto tempo guardar

A LGPD manda eliminar os dados quando termina o tratamento, por exemplo quando a finalidade foi alcançada (art. 15, I, e art. 16), e permite a conservação em algumas hipóteses, entre elas o cumprimento de obrigação legal ou regulatória (art. 16, I). Ela não fixa um prazo para denúncias, e não existe um número legal único para isso.

Isso deixa a decisão com o controlador, e a decisão precisa estar escrita: por quanto tempo um caso encerrado fica guardado, por que esse prazo (por exemplo, a necessidade de defesa em eventual processo), o que acontece ao final (eliminação ou anonimização) e quem executa. Guardar denúncia para sempre também é uma decisão, e é difícil de justificar perante o princípio da necessidade.

Sobre a Ethicos, é preciso ser exato: hoje os relatos são mantidos por prazo indeterminado e ainda não existe rotina automática de eliminação. Estamos definindo o prazo e a rotina, e isso está declarado na política de privacidade e na página de política do canal. Encerrado o contrato, a empresa escolhe entre eliminação e devolução, executadas por procedimento manual da nossa equipe.

Direitos do titular, e onde eles esbarram no anonimato

O art. 18 garante ao titular, perante o controlador, confirmação de tratamento, acesso, correção, eliminação de dados desnecessários, informação sobre compartilhamento e outros direitos. Num canal de denúncias, esses direitos encontram dois problemas que a lei não resolve expressamente.

A pessoa denunciada pede acesso

A LGPD não traz exceção específica para canais de denúncia. Ao mesmo tempo, a Lei 14.457/2022 garante o anonimato de quem denunciou. Quando a pessoa denunciada pede acesso aos dados que lhe dizem respeito, o controlador precisa equilibrar os dois deveres, e o art. 18, §4º, II permite responder indicando as razões de fato ou de direito que impedem a adoção imediata da providência. Como fazer esse equilíbrio em cada caso é uma decisão do encarregado e do jurídico. O que o mecanismo pode fazer é reduzir o que está em jogo: um sistema que não guarda a identidade de quem denunciou não tem essa identidade para entregar.

Quem denunciou quer exercer os seus direitos

Para pedir acesso ou correção, a pessoa precisa se identificar ao controlador, e isso pode custar o anonimato. A página de política do canal da Ethicos diz isso a quem vai escrever, antes de escrever. Para acompanhar o próprio caso e rever o que enviou, ela não precisa de nada disso: basta o protocolo e a senha.

Segurança, acesso e registro

O art. 46 exige medidas de segurança técnicas e administrativas contra acessos não autorizados, desde a concepção do produto ou serviço. Num canal, isso se traduz em perguntas simples: quem consegue ler uma denúncia, quem fica de fora quando a denúncia é sobre ele, e se existe registro de quem leu o quê.

Na Ethicos, a área de denúncias é restrita ao comitê e a quem administra a conta, quem denuncia pode indicar membros do comitê que não devem ver aquela denúncia, e a trilha de auditoria registra inclusive a leitura. O detalhamento está em como estruturar o comitê de ética.

Dois documentos completam o quadro. O registro das operações de tratamento (art. 37) é dever do controlador e do operador. O relatório de impacto à proteção de dados pode ser exigido pela autoridade nacional (art. 38), e um tratamento com dado sensível e risco de retaliação é justamente o tipo de caso em que vale tê-lo pronto antes de ser pedido.

Por fim, transparência sobre quem mais participa. A infraestrutura que hospeda o canal da Ethicos é de fornecedores estrangeiros, e o tratamento envolve transferência internacional de dados. Quem são esses fornecedores, o que recebem e com que fundamento está na política de privacidade. Nenhuma ferramenta torna uma empresa “adequada à LGPD” por si só; ela pode ser desenhada para facilitar as decisões do controlador, e o mecanismo que a Ethicos usa para isso está na página do canal de denúncias anônimo.

Fontes

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD), arts. 5º, 6º, 7º, 11, 12, 13, 15, 16, 18, 37, 38 e 46 (Planalto)
• Lei nº 14.457, de 21 de setembro de 2022, art. 23 (Planalto)