LGPD e canal de denúncias: o que o RH precisa garantir

A conversa sobre LGPD e canal de denúncias costuma começar pelo lado errado, o do anonimato de quem relata. O ponto mais delicado do encontro entre a lei e o canal está no conteúdo do relato. Quem denuncia escreve sobre outras pessoas, e escreve exatamente o tipo de informação que a Lei 13.709/2018, a LGPD, mais protege.

O que o RH precisa garantir cabe em quatro compromissos: coletar só o necessário; restringir o acesso a pouquíssimas pessoas, com registro de quem viu o quê; guardar com regra e descartar com critério. O quarto compromisso é separar as duas réguas que o mercado insiste em misturar. Anonimato não é sinônimo de conformidade com a LGPD, e conformidade não exige anonimato. Este artigo percorre os quatro, na ordem em que aparecem na rotina de quem cuida dos relatos.

O relato é um pacote de dados sensíveis

A LGPD chama de dado pessoal sensível a informação sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, saúde, vida sexual, dado genético ou biométrico. Releia a lista pensando no que chega pelo canal. O relato de assédio sexual fala de vida sexual. O de discriminação fala de raça, de religião ou de orientação. O de sobrecarga menciona o atestado, o afastamento, a crise de ansiedade na sala de reunião. O canal de denúncias concentra, num único lugar, quase todas as categorias de dado que a LGPD trata com o máximo de cuidado.

E os dados não pertencem só a quem relata. A pessoa citada, as testemunhas e os colegas mencionados de passagem são todos titulares, que é como a lei chama o dono de cada dado, com os mesmos direitos entre si. A empresa responde por esse conjunto na condição de controladora, a figura que decide para que e como os dados são usados, e o fornecedor da plataforma opera a serviço dela, como operador. O contrato entre os dois precisa refletir esses papéis.

Nada disso é argumento contra o canal, e sim a favor dele. Relato tratado em ambiente estruturado, com acesso controlado e registro de cada passo, é muito mais fácil de sustentar diante da LGPD do que relato circulando por e-mail e planilha. O risco não mora em ter canal. Mora em operar o canal como se ele fosse uma caixa de e-mail.

Anonimato não é conformidade (nem o contrário)

A confusão aparece nas duas direções, e as duas cobram caro.

Na primeira, a empresa conclui que o canal anônimo dispensa o dever de casa da proteção de dados. Não dispensa. O anonimato protege um titular, quem relata, e não toca nos demais. O relato anônimo que descreve o gestor, cita duas testemunhas e menciona o atestado de um colega continua cheio de dados pessoais de terceiros, vários deles sensíveis, e todos sob responsabilidade da empresa. Um canal pode ser impecável no anonimato e descuidado com a LGPD ao mesmo tempo, se os casos passarem de mão em mão por dentro.

Na segunda direção, alguém conclui que a LGPD manda anonimizar o denunciante, e que canal identificado seria irregular por definição. Também não é assim. A exigência de anonimato vem de outra prateleira, a Lei 14.457 para empresas com CIPA, e da razão prática de que sem essa proteção os relatos que importam não chegam, o argumento que este blog abriu em canal de denúncia anônimo e seguro.

As duas réguas medem coisas diferentes e se somam. O anonimato protege quem relata. A LGPD protege todo mundo que aparece no caso. A empresa séria precisa passar nas duas, e a boa notícia é que as providências práticas (círculo pequeno, registro de acesso e ambiente fechado) atendem às duas de uma vez.

Acesso mínimo, o princípio da necessidade na prática

Se eu tivesse que resumir a LGPD numa palavra para quem cuida do canal, a palavra seria menos. Menos dado coletado, menos gente com acesso, menos cópia circulando. A lei chama isso de princípio da necessidade, e o texto merece o balão, porque é a régua de quase toda decisão prática do tema:

“Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: […] III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.” (Lei 13.709/2018, art. 6º, III)

Na rotina, o princípio vira três regras. A primeira é o círculo mínimo, o menor número de pessoas com acesso aos casos, nunca menos que duas, pelo desenho de titular e suplente que este blog detalhou em quem deve gerenciar o canal. A segunda é o registro, saber quem acessou cada caso e quando, porque acesso sem trilha é porta sem fechadura. A terceira é a proibição da cópia paralela, nada de baixar o relato para anexar num e-mail nem de manter planilha de acompanhamento fora do sistema.

A quebra clássica não tem nada de cinematográfico. Ninguém invade servidor. Alguém encaminha o relato por e-mail “só para o diretor dar uma olhada”, o diretor encaminha para o gerente, e três dias depois o caso inteiro, com nome de testemunha e detalhe de saúde, está numa corrente de mensagens que ninguém controla mais. Cada encaminhamento desses é dado sensível andando fora de qualquer regra, e é assim que a empresa descobre, tarde, que o vilão da proteção de dados era o hábito da casa.

Coleta, guarda e descarte têm regra própria

Na coleta, a régua é pedir o fato, não a biografia. O formulário bom pergunta o que aconteceu, com quem, quando e onde, e orienta quem relata a não se expor além do necessário. Campos que pedem dados demais aumentam o risco jurídico e ainda afastam quem relata, então enxugar a entrada atende à lei e à confiança ao mesmo tempo.

Na guarda, a pergunta que sempre chega é por quanto tempo manter os casos, e a resposta honesta é que a LGPD não fixa um prazo único. Ela manda guardar enquanto a finalidade existir, e no canal a finalidade é dupla: concluir o tratamento do caso e sustentar a defesa da empresa se o assunto virar discussão judicial anos depois. O prazo da casa deve ser definido com o advogado e escrito na política de tratamento de relatos, para não ser decidido caso a caso, no aperto.

No descarte, o momento crítico é o fim do contrato com o fornecedor. O que acontece com o histórico se a empresa trocar de plataforma, quem exporta os casos, o que é eliminado e quem confirma a eliminação. Combinar isso antes de assinar evita descobrir, na saída, que os relatos da sua equipe ficaram num servidor que ninguém mais gerencia.

As seis perguntas que o RH leva ao fornecedor

A avaliação de proteção de dados não exige perícia técnica. Exige seis perguntas respondidas sem rodeio.

1. Que dados de quem relata vocês registram? Para denúncias anônimas, a resposta certa é nenhum, porque o dado que não existe não vaza.
2. Quem, do lado de vocês, consegue ler os relatos? O círculo mínimo vale também para o fornecedor.
3. Como o acesso do nosso time é controlado? Credencial individual e permissão por papel, nunca senha compartilhada.
4. Existe registro de quem acessou cada caso? Sem trilha, nenhuma promessa de sigilo se prova depois.
5. O que acontece com o histórico no fim do contrato? Exportação, eliminação e quem confirma cada uma.
6. O que vocês fazem se houver um incidente? A LGPD prevê comunicação de incidentes com risco relevante à autoridade e aos afetados, e o fornecedor precisa ter um plano para apoiar a empresa nessa hora.

E a promessa que deve acender o alerta é justamente a mais vendida, a conformidade garantida. A ferramenta entrega as condições técnicas para a sua empresa praticar a conformidade no dia a dia. Quem promete o selo no contrato está prometendo o que não controla, porque a LGPD se cumpre também na rotina de quem abre cada caso.

O Corpvox começa pela minimização

O desenho do canal de denúncias do Corpvox parte da minimização. Para quem relata, nenhuma informação identificadora é registrada nas denúncias, nem para a nossa equipe, e o chat com quem relatou acontece dentro da plataforma, sem e-mail no meio. Para os dados que o caso precisa ter, o ambiente é fechado, com credenciais individuais, permissões por nível e por unidade, e histórico imutável, a trilha de auditoria que prova quem fez o quê e quando. Se uma das pessoas com acesso aos relatos for citada num deles, o bloqueio automático afasta essa pessoa do caso. E vale repetir a régua da seção anterior. Tudo isso é a parte técnica da conformidade, pronta para a sua empresa completar com círculo pequeno e rotina limpa.

O que fica

Quatro compromissos resolvem o encontro entre a LGPD e o canal, os mesmos da abertura: coletar só o necessário, restringir o acesso a pouquíssimas pessoas com registro de quem viu o quê, guardar com regra e descartar com critério, e separar as duas réguas. O anonimato segue protegendo quem relata, a LGPD segue protegendo todos os nomes do caso, e as duas convivem bem na empresa que trata relato como dado sensível, não como papelada de rotina. O RH que garante isso não precisa virar especialista em proteção de dados para ter um processo que qualquer advogado consegue defender.

Transparência editorial: lembre-se que faço parte da equipe do Corpvox. Desconte o viés que achar necessário e fique com os argumentos.