Material informativo
O que a lei exige de um canal de denúncias
No Brasil, manter um canal de denúncias deixou de ser boa prática e passou a ser obrigação para boa parte das empresas. Abaixo, as normas que sustentam essa exigência, o que cada uma pede na prática e onde ler o texto oficial.
Brasil · 2022
Lei 14.457/2022 — canal de denúncias obrigatório onde há CIPA
É a norma que tornou o canal obrigatório para boa parte das empresas brasileiras. Ela renomeou a CIPA para Comissão Interna de Prevenção de Acidentes e de Assédio e criou medidas de prevenção ao assédio sexual e a outras formas de violência no trabalho.
- Alcança toda empresa obrigada a manter CIPA — a obrigatoriedade depende do número de empregados e do grau de risco, conforme a NR-5.
- O art. 23 exige procedimento de recebimento e acompanhamento de denúncias com anonimato garantido a quem denuncia.
- O prazo de adequação foi de 180 dias a partir da publicação, encerrado em março de 2023. Empresas com CIPA sem canal estão irregulares desde então.
- A fiscalização cabe ao Ministério do Trabalho e Emprego, com as sanções administrativas aplicáveis à legislação trabalhista.
A partir de 20 funcionários a empresa já pode estar obrigada
| Porte do estabelecimento | Quando a CIPA é obrigatória |
|---|---|
| A partir de 20 empregados | atividades de grau de risco 3 e 4 |
| A partir de 51 empregados | atividades de grau de risco 2 |
| A partir de 81 empregados | atividades de grau de risco 1 |
| Até 19 empregados | não constitui CIPA em nenhum grau de risco |
O grau de risco é definido pelo CNAE da atividade, no Quadro I da NR-5. Consulte o grau da sua atividade para confirmar a partir de quantos empregados a obrigação se aplica.
Brasil · 2013 e 2022
Lei Anticorrupção e o Decreto 11.129/2022
A Lei 12.846/2013 responsabiliza a empresa por atos lesivos à administração pública, independentemente de culpa de quem os praticou. O Decreto 11.129/2022 — que substituiu o Decreto 8.420/2015 — define o que se avalia num programa de integridade.
- O canal de denúncias é um dos parâmetros de avaliação do programa de integridade, e não um item opcional de boas práticas.
- O decreto exige canal aberto e amplamente divulgado a empregados e terceiros, com mecanismos de tratamento das denúncias.
- Exige também proteção a quem denuncia de boa-fé — ou seja, medidas concretas contra retaliação, não apenas a promessa de sigilo.
- A existência e a efetividade do programa pesam na dosimetria da sanção. Um canal que existe no papel e não trata o que recebe tende a valer pouco nessa conta.
Brasil · 2018
LGPD — o canal trata dados pessoais, e dos mais sensíveis
Um canal de denúncias trata dados de quem relata, de quem é acusado e de terceiros mencionados, quase sempre em contexto de conflito. A Lei 13.709/2018 se aplica integralmente, e a tensão entre sigilo e direito de acesso do titular é real.
- O tratamento costuma se apoiar em cumprimento de obrigação legal ou regulatória, em legítimo interesse do controlador, ou no exercício regular de direitos em processo.
- A base legal muda conforme o caso, e definir qual se aplica a cada tratamento é decisão jurídica da empresa que opera o canal, não da ferramenta.
- Minimização é obrigação, não virtude: coletar só o necessário, restringir quem acessa e registrar quem acessou o quê.
- Retenção precisa de prazo definido. Guardar relato encerrado por tempo indeterminado é tratamento sem finalidade.
- Incidente de segurança com risco relevante exige comunicação à ANPD e aos titulares.
Internacional · 2021
ISO 37002:2021 — a referência de como o canal deve funcionar
Norma internacional de sistemas de gestão de denúncias, publicada em 2021. Não é lei e não obriga ninguém, mas é o parâmetro que auditoria e cliente corporativo usam para julgar se o canal funciona de verdade.
- Organiza o canal em quatro etapas: receber, avaliar, tratar e encerrar a denúncia.
- Assenta em três princípios — confiança, imparcialidade e proteção de quem denuncia.
- Trata a proteção contra retaliação como parte do sistema, com acompanhamento posterior ao encerramento do caso.
- Pede evidência de funcionamento: prazos, registro de decisão e melhoria contínua a partir do que o canal revela.
União Europeia · 2019
Diretiva (UE) 2019/1937 — quando a matriz ou o grupo é europeu
Estabelece proteção mínima a denunciantes em toda a União Europeia. Não se aplica diretamente a empresa brasileira, mas alcança subsidiárias e fornecedores de grupos europeus por exigência contratual.
- Obriga entidades públicas e privadas com 50 ou mais trabalhadores a manter canal interno de denúncia.
- Exige prazo de resposta a quem denuncia e designação de pessoa ou área imparcial para conduzir o caso.
- Proíbe retaliação de forma expressa e ampla, incluindo demissão, rebaixamento e perda de contrato.
- Vale conhecer se a sua empresa integra cadeia de fornecimento europeia: a exigência tende a chegar por contrato, antes de chegar por lei.
O que isso exige na prática
Lidas em conjunto, as normas acima convergem para um conjunto pequeno de exigências concretas. É por elas que um canal costuma ser julgado quando alguém decide olhar de perto — auditoria, cliente ou autoridade.
Anonimato de verdade
Não basta prometer sigilo. O canal não pode registrar o que identifique quem relatou sem que essa pessoa escolha se identificar — inclusive metadados, como endereço de origem.
Acesso restrito e auditável
Quem trata o caso vê o caso. Ninguém mais. E cada acesso a dado sensível fica registrado, com autor e data, de forma que não possa ser alterada depois.
Retorno a quem denunciou
Sem um caminho de volta, a pessoa não sabe se foi lida, e não denuncia de novo. Protocolo de acompanhamento resolve isso sem exigir identificação.
Prazo e registro de decisão
O que não tem prazo não é tratado, é acumulado. E decisão sem registro não resiste a questionamento seis meses depois.
Proteção contra retaliação
Prevista em lei e na norma internacional. Exige acompanhamento posterior ao encerramento, não apenas uma cláusula no código de conduta.
Retenção com prazo
Relato encerrado tem data para ser expurgado ou anonimizado, com suspensão quando houver processo em curso.