Proteção ao denunciante contra retaliação: lei e mecanismo
Toda política de canal de denúncias deveria ter uma cláusula de não retaliação. Vale saber de onde ela vem: a Lei 14.457/2022 não usa a palavra retaliação, e a proteção ao denunciante de boa-fé aparece em outra norma, como critério de avaliação de programa de integridade. E, de onde quer que venha, uma cláusula é uma promessa: vale enquanto quem manda quiser que valha. Este texto é sobre a outra metade da questão, a metade mecânica. Se ninguém dentro da empresa sabe quem escreveu o relato, não há a quem retaliar, e isso não depende de boa vontade de ninguém. Este texto é informativo e não substitui orientação jurídica.
O que a lei diz, e o que ela não diz
Quatro textos aparecem nessa conversa, e vale ler o que cada um diz, e o que não diz.
A Lei 14.457/2022, no art. 23, trata das empresas que têm CIPA: manda fixar procedimentos de recebimento e acompanhamento de denúncias, de apuração dos fatos e, quando for o caso, de aplicação de sanções, “garantido o anonimato da pessoa denunciante” (inciso II). Anonimato está no texto como condição do procedimento, não como cortesia de quem o operar. A palavra retaliação não está na lei.
O Decreto 11.129/2022, que regulamenta a Lei Anticorrupção, é onde a proteção aparece por escrito. Entre os parâmetros de avaliação de um programa de integridade, o art. 57, X, lista canais de denúncia abertos e amplamente divulgados e “mecanismos destinados ao tratamento das denúncias e à proteção de denunciantes de boa-fé”. É um critério para avaliar o programa, com peso real para quem responde à Lei 12.846/2013, e não uma obrigação geral de toda empresa.
A Lei 13.608/2018 tem a regra mais explícita: assegura ao informante proteção contra ações ou omissões praticadas em retaliação, como demissão arbitrária ou alteração injustificada de funções (art. 4º-C). Mas ela está desenhada para as unidades de ouvidoria ou correição que União, estados, municípios e suas empresas públicas e sociedades de economia mista devem manter (art. 4º-A). Não é um texto que se aplique, sem mais, ao canal de uma empresa privada.
A NR-1, na redação dada pela Portaria MTE 1.419/2024, traz os fatores de risco psicossociais para o gerenciamento de riscos ocupacionais e pede mecanismos de participação e consulta aos trabalhadores. O texto da norma não menciona canal de denúncias.
Na prática, uma política de não retaliação é o que dá sentido ao anonimato da Lei 14.457 e à proteção de boa-fé do decreto, e por isso ela aparece em quase toda política séria. A tela de privacidade do canal público da Ethicos a apresenta a quem vai escrever como regra da política da empresa, sem atribuí-la a uma lei: ninguém pode ser punido, demitido ou constrangido por usar o canal de boa-fé. E diz o que fazer se acontecer, que é registrar uma nova denúncia na categoria correspondente.
Nenhum desses textos diz como a empresa deve chegar a esse resultado. É exatamente aí que a implementação do canal passa a importar.
Retaliação pressupõe um nome
Retaliar exige um alvo. Demitir, isolar, remanejar, cortar da escala: qualquer uma dessas coisas pressupõe saber quem foi. Então a pergunta útil não é se a política proíbe retaliação, é quais dados existiriam, dentro do sistema, para chegar até a pessoa.
No canal público da Ethicos nenhum desses dados existe, e vale ver por quê, item por item.
- Não há login e não há conta. Enviar um relato não pede e-mail, cadastro nem qualquer identificação.
- Antes de o relato ser gravado, o sistema descarta o que a própria conexão carrega: o endereço de IP, o navegador e o idioma do aparelho, que somados formam boa parte de uma impressão digital. Nada disso chega a virar registro. O endereço de IP é usado só de passagem, para conter envio automatizado em massa, e nunca é guardado.
- Não existe, em nenhum lugar do sistema, dado algum que aponte para quem escreveu: nem autor, nem IP, nem dispositivo, nem sessão. Não é um campo que a interface esconde. É um dado que nunca foi coletado, e por isso não há o que mostrar depois.
Um dado escondido é um dado que alguém pode decidir mostrar depois, por curiosidade, por pressão interna ou por ordem. O que nunca foi guardado não pode ser entregue depois.
Protocolo e senha, uma única vez
Ao enviar, a pessoa recebe um protocolo e uma senha, sorteados por gerador criptográfico e exibidos uma única vez na tela. O que fica guardado não são o protocolo e a senha, e sim verificadores embaralhados de forma irreversível: eles conferem o que a pessoa digita e não permitem reconstruir nem um nem outro. A senha em texto claro não fica em lugar nenhum.
A consequência é desconfortável e é intencional: não existe recuperação de senha. Não há e-mail para onde reenviar, porque o canal não pede e-mail. Reemitir exigiria guardar a senha, e guardá-la significaria que alguém com acesso ao banco poderia entrar no acompanhamento de uma denúncia que não é sua. O comprovante avisa isso na própria tela, em uma frase.
Quando a pessoa volta e digita protocolo e senha, recebe um cookie de sessão que carrega um único dado, o identificador daquela denúncia, com validade de uma hora e sem renovação automática. A sessão não sabe quem ela é. O sistema também não.
O que o comitê vê
Do outro lado, o comitê abre a denúncia e vê o relato na íntegra, a categoria, a data do ocorrido quando informada, os anexos, o histórico de mensagens e a situação. Responde por escrito, pelo protocolo. Pode pedir detalhes, e a pessoa pode responder que prefere não dizer ainda, o que é uma resposta legítima e acontece com frequência.
O que o comitê não vê é o que não existe: quem escreveu, o endereço de IP, o navegador e o dispositivo, qualquer login ou sessão. Um relato lido e respondido sem que se saiba a origem é o comportamento normal do canal, não uma exceção configurável.
Dois detalhes merecem ser ditos com precisão.
Identificar-se é opcional e é decisão de quem denuncia. Quando alguém escolhe informar nome ou contato, esses campos são gravados cifrados, e o mesmo vale para o e-mail de notificação, que existe só para avisar que houve resposta e também é opcional.
No formulário, quem denuncia pode nomear integrantes do comitê que não devem ver aquele relato, sendo o caso óbvio a própria pessoa envolvida. Para esse integrante a denúncia desaparece da lista e do detalhe, e não é a tela que a esconde: ela não é entregue. Vale a franqueza sobre o limite: esse filtro se aplica a quem tem papel de membro do comitê. Administradores e o dono da conta continuam vendo tudo, porque a responsabilidade formal pelo canal é deles.
E existe um registro nominal nesse fluxo, só que apontando para o outro lado: cada vez que alguém da empresa abre uma denúncia, isso entra na auditoria com o usuário, o IP e o navegador de quem abriu. O rastro é de quem lê, não de quem escreveu.
Proteção não é licença
Proteção contra retaliação vale para quem relata de boa-fé o que acredita ser verdadeiro, e não é preciso ter provas formais para relatar. A mesma tela do canal diz também o outro lado: denúncia deliberadamente falsa, motivada por retaliação pessoal ou difamação, pode configurar os crimes de calúnia, difamação ou injúria (Código Penal, arts. 138 a 140). As duas frases convivem sem contradição, e a segunda é parte de por que a primeira é levada a sério.
O resumo é curto. Uma promessa de não retaliar depende de alguém cumpri-la. A ausência do dado não depende de ninguém. Uma não substitui a outra, mas só a segunda continua de pé no dia em que a primeira for esquecida.
O registro completo, campo por campo, com o que é guardado ao lado do que nunca é coletado, está desenhado na página do canal de denúncias. O que a Lei 14.457/2022 pede do canal, item por item, está em canal de denúncias é obrigatório?, e como conduzir o caso depois que ele chega, em como apurar uma denúncia de assédio.