Que documentação preparar para um canal de denúncias? O guia completo de conformidade

Por Que a Documentação é a Base de Sustentação Jurídica do Canal?

A Lei n.º 93/2021 e o Decreto-Lei n.º 109/2021 (RGPC) impuseram às organizações portuguesas um padrão exigente de responsabilidade corporativa (accountability). Não basta atuar de boa-fé ou ter boas intenções: a empresa tem de ser capaz de documentar, a todo o tempo, as suas regras internas, as deliberações societárias de aprovação, a formação ministrada aos colaboradores e os fluxos de custódia da informação.

A existência de documentação jurídica sólida cumpre três propósitos estruturantes:

• Segurança jurídica para os decisores e investigadores: Delimita com rigor o que pode e não pode ser feito durante uma investigação interna, prevenindo abusos de autoridade, violações de privacidade dos colaboradores e a nulidade de provas disciplinares;
• Confiança e adesão dos trabalhadores: Quando os colaboradores conhecem antecipadamente as regras do jogo, quem recebe as denúncias, como são tratados os dados e que garantias de não retaliação existem, a predisposição para reportar desvios éticos aumenta substancialmente;
• Blindagem em sede inspetiva e judicial: Numa inspeção do MENAC ou num processo de impugnação de despedimento disciplinar no Tribunal do Trabalho, o tribunal e a autoridade fiscalizadora exigem a demonstração cabal de que o canal de denúncias respeitou os procedimentos formais previamente aprovados e publicitados.

O Dossiê Documental Obrigatório: Os 8 Documentos Indispensáveis

Para assegurar conformidade integral com a legislação portuguesa e europeia, qualquer organização sujeita à Lei n.º 93/2021 deve elaborar, aprovar e manter atualizado o seguinte conjunto de oito documentos nucleares:

Documento 1: Regulamento Interno do Canal de Denúncias

É o diploma normativo interno da organização que rege o funcionamento do canal. Deve ser formalmente aprovado pelo Conselho de Administração ou Gerência e comunicado a toda a estrutura. Deve conter obrigatoriamente:

• Âmbito de aplicação subjetivo (trabalhadores, prestadores de serviços, estagiários, membros dos órgãos sociais, fornecedores);
• Âmbito material de infrações denunciáveis (corrupção, fraude financeira, contratação pública, segurança de produtos, proteção ambiental, assédio laboral, evasão fiscal);
• Canais de submissão disponibilizados (plataforma digital, linha de voz, marcação de reunião presencial);
• Regras de tramitação e fases procedimentais;
• Prazos imperativos de resposta (notificação em 7 dias e conclusão aos 3 meses);
• Direitos e deveres do denunciante e da pessoa visada;
• Sanções internas aplicáveis a denúncias conscientemente falsas ou de má-fé.

Documento 2: Política de Não Retaliação e Proteção do Denunciante

Constitui a declaração de compromisso solene da administração da empresa com a tolerância zero à retaliação. Este documento define expressamente:

• A proibição categórica de qualquer ato prejudicial, direto ou indireto, praticado contra quem formule uma denúncia de boa-fé;
• A enumeração de atos proibidos (despedimento, sanções disciplinares, despromoção, assédio moral, alteração de funções, recusa de formação);
• As medidas de apoio psicológico e jurídico que a empresa disponibiliza ao denunciante;
• As sanções disciplinares gravíssimas (que podem culminar em despedimento com justa causa) aplicáveis a qualquer gestor ou colega que tente perseguir ou coagir o denunciante;
• O princípio da presunção de retaliação e inversão do ónus da prova estabelecido no artigo 21.º da Lei n.º 93/2021.

Documento 3: Procedimento Operacional Padrão de Investigação (POP)

Trata-se do manual prático e confidencial destinado aos membros da equipa ou comissão responsável pela gestão do canal. Descreve com precisão cirúrgica o fluxo de trabalho dos investigadores:

• Protocolo de receção e registo: Criação do processo e atribuição de código confidencial;
• Critérios de triagem de admissibilidade: Como avaliar em 48 horas se os factos relatados se enquadram no âmbito da Lei 93/2021 ou se consubstanciam meros diferendos interpessoais ou reclamações de consumo;
• Verificação de conflitos de interesse: Regras de impedimento automático caso um dos gestores do canal seja familiar, amigo ou hierarquicamente subordinado à pessoa visada;
• Recolha e custódia de prova: Como auditar e-mails, livros contabilísticos e sistemas sem violar o RGPD e as regras de privacidade laboral;
• Audição de testemunhas e do visado: Como assegurar o princípio do contraditório sem expor a identidade do denunciante;
• Modelo de Relatório Final de Investigação: Estrutura das conclusões, fundamentação jurídica e propostas de medidas disciplinares ou corretivas a submeter à administração.

Documento 4: Termo Formal de Nomeação dos Responsáveis pelo Canal

A Lei n.º 93/2021 exige que as pessoas designadas para a gestão do canal possuam garantias de independência e autonomia. Este ato societário deve conter:

• Deliberação formal do órgão de administração que nomeia nominalmente os gestores titulares e suplentes;
• Declaração expressa de delegação de competências exclusivas para receção, instrução e arquivamento preliminar;
• Compromisso irrevogável de confidencialidade e sigilo profissional assinado pelos nomeados;
• Cláusula de garantia de independência que impede a administração de emitir ordens ou instruções diretas que condicionem o sentido das averiguações.

Documento 5: Avaliação de Impacto sobre a Proteção de Dados (AIPD / DPIA)

O tratamento de denúncias envolve dados altamente sensíveis, incluindo relatos de crimes e suspeitas disciplinares. Nos termos do artigo 35.º do RGPD e das orientações da CNPD, a implementação de um canal de denúncias exige a elaboração de uma AIPD prévia:

• Descrição sistemática das operações de tratamento de dados pessoais no software de whistleblowing;
• Avaliação da necessidade e proporcionalidade da recolha de dados;
• Identificação e mensuração dos riscos para os direitos e liberdades dos titulares dos dados (denunciantes, visados e testemunhas);
• Medidas de segurança técnicas adotadas para mitigar esses riscos (encriptação AES-256, Zero-Log de IPs, segregação de acessos por perfis);
• Parecer formal prévio emitido pelo Encarregado de Proteção de Dados (DPO) da organização.

Documento 6: Aditamento aos Regulamentos Internos e Contratos de Trabalho

Para conferir plena eficácia laboral às normas do canal de denúncias perante o Código do Trabalho português:

• Aditamento ao Regulamento Interno de Empresa (quando exista), integrando a descrição do canal e os deveres éticos de relato de infrações graves;
• Procedimento de audição prévia da Comissão de Trabalhadores ou delegados sindicais nos termos do artigo 99.º do Código do Trabalho;
• Comunicação formal a todos os colaboradores da entrada em vigor das regras e indicação clara do link de acesso na intranet institucional.

Documento 7: Acordo de Subcontratação de Dados (DPA - Artigo 28.º do RGPD)

Caso a organização recorra a um fornecedor de software SaaS como a UNOVOX para alojamento e operação tecnológica do canal, é juridicamente obrigatório celebrar um contrato de subcontratante de dados (Data Processing Agreement):

• Identificação do responsável pelo tratamento (a empresa cliente) e do subcontratante (o fornecedor SaaS);
• Garantia de que os dados são armazenados exclusivamente em centros de dados situados no Espaço Económico Europeu (UE), imunes ao US CLOUD Act;
• Obrigações de confidencialidade técnica dos colaboradores do fornecedor;
• Compromisso de auditorias periódicas e assistência na resposta a pedidos de titulares ou inspeções da CNPD;
• Regras de destruição ou devolução integral dos dados após a cessação do contrato de prestação de serviços.

Documento 8: Relatório Anual de Cumprimento e Estatística

No âmbito do Regime Geral de Prevenção da Corrupção (RGPC) e das obrigações anuais perante o MENAC, a organização deve elaborar, no primeiro trimestre de cada ano civil, um relatório quantitativo e qualitativo referente ao exercício transato:

• Número total de denúncias recebidas por tipologia de infração;
• Percentagem de denúncias anónimas versus identificadas;
• Tempo médio de acusação de receção (verificação do cumprimento do prazo dos 7 dias);
• Tempo médio de conclusão e resposta fundamentada (verificação do cumprimento dos 3 meses);
• Número de processos arquivados por falta de fundamento;
• Número de processos com aplicação de sanções disciplinares, renegociação contratual ou remessa para as autoridades judiciárias (PJ/MP);
• Medidas corretivas de gestão implementadas para prevenir a repetição das falhas detetadas.

A Articulação Obrigatória com o Programa de Cumprimento Normativo do RGPC

O Decreto-Lei n.º 109/2021 estabelece que as pessoas coletivas com sede em Portugal que empreguem 50 ou mais trabalhadores têm de adotar e implementar um Programa de Cumprimento Normativo abrangente, no qual o canal de denúncias é apenas uma das quatro peças nucleares obrigatórias.

O Plano de Prevenção de Riscos de Corrupção e Infrações Conexas (PPRIC)

O artigo 6.º do RGPC determina a elaboração e atualização bienal de um Plano de Prevenção de Riscos de Corrupção (PPRIC). Este documento tem de articular-se formalmente com o canal de denúncias da seguinte forma:

• Mapeamento das áreas funcionais de risco: Identificação expressa de todos os departamentos suscetíveis a práticas de corrupção, tráfico de influências, fraude em subsídios ou conflitos de interesse (como compras, contratação pública, aprovação de licenças e concessão de benefícios fiscais);
• Graduação de probabilidade e impacto: Classificação matricial de cada risco em baixo, médio, elevado ou muito elevado;
• Alimentação mútua de dados: Sempre que uma denúncia interna comprovada revelar uma nova tipologia de fraude, o PPRIC tem de ser formalmente revisto para incluir novas medidas preventivas e controlos mitigadores.

O Código de Conduta e o Sistema de Consequências Disciplinares

Ao abrigo do artigo 7.º do RGPC, as entidades abrangidas devem aprovar um Código de Conduta próprio que consagre os valores, princípios e normas de conduta profissional. O canal de denúncias atua como o garante da efetividade deste código, devendo a documentação corporativa prever com clareza o sistema de sanções disciplinares aplicáveis aos infratores e os mecanismos de tutela dos direitos dos visados.

Como Traduzir a Documentação para a Configuração do Software SaaS

A documentação jurídica aprovada não deve ficar fechada numa gaveta. O software de canal de denúncias tem de espelhar fielmente, na sua parametrização informática, aquilo que está escrito nos regulamentos da empresa:

Parametrização das Categorias de Denúncia

As opções selecionáveis no formulário web devem corresponder rigorosamente aos domínios materiais de infração previstos no Regulamento Interno (ex.: Corrupção e Suborno, Conflitos de Interesse, Assédio Moral e Sexual, Segurança e Saúde no Trabalho, Fraude Financeira e Fiscal, Proteção de Dados e Cibercrime, Infrações Ambientais).

Configuração dos Prazos e Alertas Automatizados

Os fluxos do software devem refletir os limites temporais do POP:

• Disparo de alerta automático aos 3 dias para garantir que a acusação de receção nunca ultrapassa o 7.º dia;
• Disparo de alertas aos 30, 60 e 75 dias para assegurar que a redação das medidas de seguimento fica concluída antes do 90.º dia (3 meses);
• Bloqueio de encerramento de casos sem o preenchimento de campo obrigatório de fundamentação jurídica da decisão.

Segregação de Permissões e Perfis de Acesso

Em conformidade com a AIPD e com o termo de nomeação dos gestores:

• Apenas os utilizadores formalmente autorizados podem ter credenciais ativas para abrir casos;
• Possibilidade de declarar conflito de interesses caso a denúncia vise um dos gestores, transferindo o caso de forma transparente para o membro suplente designado;
• Geração de logs de auditoria imutáveis que registam quem acedeu a cada denúncia, a que horas e que ficheiros descarregou.

Riscos de Fiscalização pelo MENAC e Consequências da Omissão Documental

O Mecanismo Nacional Anticorrupção (MENAC) dispõe de competências expressas para auditar as empresas abrangidas pela Lei n.º 93/2021 e pelo RGPC. Numa ação de fiscalização, a autoridade não se limita a pedir o link do canal de denúncias. A equipa de inspeção solicita formalmente:

• Cópia do Regulamento Interno do Canal de Denúncias aprovado pelos órgãos de gestão;
• Comprovativo da comunicação e publicidade do canal junto dos colaboradores;
• Termos de nomeação e compromissos de confidencialidade dos operadores do canal;
• Registo anonimizado dos processos tramitados nos últimos anos para verificação do cumprimento dos prazos de 7 dias e 3 meses;
• Avaliação de Impacto sobre a Proteção de Dados (AIPD) com o parecer do DPO;
• Cópia do Plano de Prevenção de Riscos de Corrupção (PPRIC) e do Código de Conduta aprovados.

A incapacidade de apresentar estes documentos consubstancia contraordenação grave nos termos do artigo 28.º, n.º 2 da Lei n.º 93/2021 e do artigo 20.º do RGPC, punível com coima até €60.000 (ou até €125.000 em caso de atuação dolosa), para além de expor a organização a processos contraordenacionais autónomos instaurados pela CNPD com coimas que podem ascender a milhões de euros por infração ao RGPD.

Boas Práticas na Manutenção e Atualização do Dossiê de Compliance

Um sistema de compliance ético é um ecossistema dinâmico que deve evoluir com as alterações legislativas e a maturidade da organização:

• Revisão Anual da Documentação: O Regulamento Interno e o POP devem ser revistos anualmente pelo gabinete jurídico ou compliance officer para incorporar novas orientações do MENAC, da CNPD ou jurisprudência dos tribunais superiores;
• Formação Contínua dos Operadores do Canal: Os gestores nomeados devem frequentar formação periódica em técnicas de inquirição, preservação de prova digital e gestão de crises reputacionais;
• Ações de Sensibilização aos Trabalhadores: Realizar sessões de esclarecimento aos colaboradores (em regime presencial e e-learning) para desmistificar o canal, demonstrar que o anonimato é real e explicar que o objetivo da plataforma é proteger a empresa e as suas pessoas.

Perguntas Frequentes sobre a Documentação do Canal de Denúncias (FAQ)

Posso copiar um modelo genérico de regulamento de canal de denúncias da internet?

Não é recomendável. Um regulamento genérico omite frequentemente especificidades setoriais críticas da empresa (como regulação financeira, branqueamento de capitais, normas de saúde ou regras de contratação pública), além de poder conter procedimentos desfasados da Lei n.º 93/2021 e do RGPC, gerando nulidades processuais em processos disciplinares.

É obrigatório consultar a Comissão de Trabalhadores ou sindicatos antes de aprovar o regulamento?

Sim. Se a empresa dispuser de Comissão de Trabalhadores ou se o regulamento for integrado no Regulamento Interno de Empresa com reflexos disciplinares, deve ser cumprido o procedimento de informação e consulta prévia aos representantes dos trabalhadores previsto no Código do Trabalho.

A Avaliação de Impacto sobre a Proteção de Dados (AIPD) é obrigatória para todas as empresas?

Sim. A CNPD e o Comité Europeu para a Proteção de Dados (CEPD) consideram que o tratamento de denúncias de infrações e suspeitas criminais envolvendo colaboradores é um tratamento de dados de alto risco, tornando a elaboração de uma AIPD/DPIA prévia uma exigência imperativa ao abrigo do artigo 35.º do RGPD.

O que deve constar no termo de nomeação dos gestores do canal?

A identificação expressa das pessoas nomeadas, a descrição das suas competências exclusivas de triagem e investigação, o compromisso solene de sigilo e confidencialidade profissional e a declaração de independência face à hierarquia executiva.

Quem tem legitimidade para assinar o Relatório Anual de Cumprimento?

O relatório anual é elaborado pelo Responsável de Cumprimento Normativo (Compliance Officer) ou pela comissão gestora do canal e é formalmente aprovado e subscrito pelos membros do Conselho de Administração ou Gerência da entidade.

Durante quanto tempo devem ficar arquivados os regulamentos anteriores que já foram revogados?

As versões históricas dos regulamentos e procedimentos devem ser conservadas durante o mesmo período de arquivo dos processos que foram regidos por essas versões (pelo menos 5 anos), permitindo demonstrar a validade legal das decisões tomadas à data dos factos.

A UNOVOX fornece minutas e modelos documentais às empresas clientes?

Sim. A UNOVOX disponibiliza a todas as entidades subscritoras um pacote completo de minutas jurídicas estruturadas (Regulamento Interno, Política de Não Retaliação, POP de Investigação, Minuta de AIPD e Termos de Nomeação), concebidas por advogados especialistas em compliance e proteção de dados, prontas para adaptação à realidade de cada organização.

Uma empresa com canal externo contratado precisa de aprovar regulamentos internos?

Sim. Mesmo que a triagem inicial ou o software sejam fornecidos por um prestador externo, a organização cliente é a responsável jurídica pelo canal e tem de aprovar a sua própria política corporativa e procedimento de adoção de medidas corretivas internas.

O que acontece se uma empresa instaurar um processo disciplinar sem ter o canal documentalmente regulamentado?

O trabalhador visado pode arguir a nulidade das provas obtidas e a ilicitude do procedimento disciplinar em tribunal, alegando violação de garantias fundamentais de defesa e desrespeito das regras do Código do Trabalho e da Lei n.º 93/2021.

O dossiê documental do canal de denúncias tem de estar traduzido para inglês em subsidiárias multinacionais?

O dossiê deve existir obrigatoriamente em língua portuguesa para efeitos de cumprimento da legislação nacional e fiscalização pelas autoridades públicas (MENAC, ACT, CNPD). No entanto, em empresas com quadros de gestão estrangeiros, é uma boa prática manter versões bilingues para assegurar a perfeita compreensão por todos os órgãos societários.