Whistleblowing Policy Portugal (Política de Denúncia de Irregularidades)

A Política de Denúncia de Irregularidades é o documento empresarial celebrado em Portugal ao abrigo de Lei nº 93/2021 (Regime Geral de Proteção de Denunciantes).

A base jurídica articula vários diplomas. A Lei nº 93/2021 é o regime central, com aplicação a entidades públicas (todas) e a entidades privadas com 50 ou mais trabalhadores ao serviço (artigo 8.º), abrangendo também sociedades em conjuntura especial (instituições de crédito, sociedades financeiras, sociedades de investimento) independentemente do número de trabalhadores. O artigo 9.º do Decreto-Lei nº 109-E/2021, de 9 de Dezembro (Regime Geral de Prevenção da Corrupção), reforça a obrigação de canal interno integrado no Programa de Cumprimento Normativo. A Lei nº 83/2017, de 18 de Agosto (regime preventivo de branqueamento e financiamento do terrorismo), exige canal específico para comunicação de operações suspeitas à Unidade de Informação Financeira (UIF) da Polícia Judiciária. O Aviso 5/2008 do Banco de Portugal sobre sistemas de controlo interno articula-se com o canal nas instituições financeiras supervisionadas.

O âmbito material da denúncia abrange as infrações tipificadas no artigo 2.º da Lei nº 93/2021: corrupção e infrações conexas, criminalidade económica e financeira, branqueamento de capitais, financiamento do terrorismo, infrações em matéria de contratação pública, infrações em matéria de saúde pública e proteção de consumidores, infrações em matéria de proteção do ambiente, infrações em matéria de saúde e bem-estar dos animais, infrações em matéria de segurança alimentar, infrações em matéria de segurança dos produtos, infrações em matéria de segurança nos transportes, infrações em matéria de proteção de dados pessoais e segurança das redes e sistemas de informação, infrações ao mercado interno (concorrência, auxílios estatais, fiscalidade), violações dos interesses financeiros da União Europeia.

O âmbito subjetivo é amplo. Estão protegidos como denunciantes ao abrigo do artigo 5.º: trabalhadores com vínculo laboral por tempo indeterminado, a termo ou em regime de cedência ocasional; prestadores de serviços e respetivos colaboradores; trabalhadores cessados (durante 6 meses após o termo da relação laboral); candidatos a emprego cuja relação não se constituiu; voluntários e estagiários, remunerados ou não; acionistas e titulares dos órgãos sociais e de fiscalização; pessoas que prestem assistência ao denunciante (jornalistas que recebam informação no exercício da profissão, advogados que assessorem o denunciante, sindicatos).

A proteção do denunciante assenta em três planos. Primeiro, confidencialidade absoluta da identidade nos termos do artigo 18.º — apenas o Responsável pelo Canal e os colaboradores estritamente necessários ao tratamento têm acesso aos dados de identificação, com proibição de divulgação a terceiros salvo consentimento expresso ou imposição de lei ou ordem judicial. Segundo, proibição absoluta de retaliação nos termos do artigo 21.º, com presunção legal de retaliação para qualquer ato adverso (despedimento, transferência, suspensão, alteração de funções, redução de remuneração, ações disciplinares, recusa de promoção, retirada de poderes, mudança de horário, prejuízo na avaliação de desempenho) praticado contra o denunciante no prazo de 2 anos a contar da denúncia. Terceiro, isenção de responsabilidade civil, disciplinar, contraordenacional e criminal pela aquisição ou divulgação da informação, salvo se a aquisição constituir crime autónomo ou se a denúncia for manifestamente infundada e dolosa.

A fiscalização em Portugal é distribuída por várias entidades. O Mecanismo Nacional Anticorrupção (MENAC), criado pelo Decreto-Lei nº 109-E/2021 com sede em Lisboa, é o canal externo competente em matéria de corrupção e infrações conexas. A Comissão Nacional de Proteção de Dados (CNPD) supervisiona o tratamento de dados pessoais decorrente da gestão do canal. O Banco de Portugal, a Comissão do Mercado de Valores Mobiliários (CMVM) e a Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) são canais externos competentes em matéria de infrações financeiras. A Direção-Geral do Consumidor (DGC) recebe denúncias em matéria de proteção dos consumidores. A Autoridade de Segurança Alimentar e Económica (ASAE) é competente em matéria de práticas comerciais desleais.

A Política de Denúncia de Irregularidades em Portugal é juridicamente obrigatória para todas as entidades públicas (independentemente da dimensão) e para todas as entidades privadas com 50 ou mais trabalhadores ao serviço, nos termos do artigo 8.º da Lei nº 93/2021, de 20 de Dezembro. A obrigação aplicou-se a partir de 18 de junho de 2022 para entidades com 250 ou mais trabalhadores e a partir de 17 de dezembro de 2023 para entidades com 50 a 249 trabalhadores.

As instituições de crédito, sociedades financeiras, empresas de investimento, sociedades gestoras de fundos e seguradoras têm obrigação alargada independentemente do número de trabalhadores, decorrente do Aviso 5/2008 do Banco de Portugal, do Regulamento da CMVM 2/2018 e da Lei nº 83/2017 (regime preventivo de branqueamento e financiamento do terrorismo). O canal específico para comunicação de operações suspeitas à Unidade de Informação Financeira (UIF) da Polícia Judiciária funciona em paralelo com o canal geral de denúncias.

As sociedades cotadas em mercado regulamentado e sujeitas à supervisão da Comissão do Mercado de Valores Mobiliários (CMVM) integram o canal de denúncias no relatório anual de governo, com indicação do número de denúncias recebidas, sua tipologia e medidas tomadas. O princípio comply or explain aplica-se quando a empresa não disponha de canal funcional ou se desvie das melhores práticas reconhecidas (Código de Governo das Sociedades do IPCG, recomendações do European Confederation of Directors' Associations).

As entidades públicas — administração pública direta e indireta do Estado, administração regional autónoma dos Açores e da Madeira, autarquias locais, empresas públicas, universidades, hospitais EPE, institutos públicos, fundações públicas — estão sujeitas a regime reforçado decorrente da Lei nº 93/2021, do Estatuto Disciplinar dos Trabalhadores em Funções Públicas (Lei nº 35/2014) e do Código de Procedimento Administrativo (Decreto-Lei nº 4/2015, de 7 de Janeiro). A Inspeção-Geral de Finanças (IGF) e a Inspeção-Geral da Administração Pública (IGAP) são entidades centrais de receção de denúncias.

As empresas portuguesas integradas em grupos multinacionais devem articular o canal nacional com canais corporativos do grupo, respeitando o princípio do nivelamento por cima — aplica-se sempre o standard mais protetor do denunciante. A integração com plataformas internacionais (NAVEX, Whispli, EthicsPoint, Convercent) deve respeitar as regras de transferência internacional de dados pessoais nos termos dos artigos 44.º a 49.º do RGPD, com cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou regras corporativas vinculativas (BCR) aprovadas pela CNPD.

As micro, pequenas e médias empresas com menos de 50 trabalhadores não estão legalmente obrigadas a dispor de canal interno de denúncia, mas a sua adoção voluntária é fortemente incentivada como elemento de mitigação de risco. Em particular, empresas que: aspirem a financiamento europeu (Portugal 2030, PRR); integrem cadeias de fornecimento de grandes empresas com obrigação de due diligence (decorrente da Diretiva (UE) 2024/1760 — CSDDD); celebrem contratos públicos ao abrigo do Decreto-Lei nº 18/2008; operem em setores regulados (saúde, educação, energia, transporte).

As empresas que operem em jurisdições com legislação whistleblowing reforçada (Estados Unidos com o Sarbanes-Oxley Act de 2002 e o Dodd-Frank Act de 2010, Reino Unido com o Public Interest Disclosure Act 1998) devem assegurar que o canal nacional cumpre os standards mais exigentes. O Sarbanes-Oxley exige canal acessível a empregados de empresas cotadas na SEC, com proteção criminal contra retaliação. O Dodd-Frank prevê recompensas monetárias substanciais para denunciantes que conduzam a sanções superiores a 1 milhão de dólares.

As empresas de transporte aéreo, marítimo, ferroviário e rodoviário têm obrigações específicas em matéria de canal de comunicação de incidentes de segurança decorrentes do Regulamento (UE) 376/2014 (aviação civil), do Regulamento (UE) 1177/2010 (transporte marítimo de passageiros) e da Diretiva (UE) 2018/1972 (Código Europeu das Comunicações Eletrónicas). Estes canais funcionam em paralelo com o canal geral de whistleblowing.

A Política de Denúncia de Irregularidades em Portugal deve articular um conjunto técnico de elementos cuja omissão expõe a entidade a contraordenações nos termos do artigo 27.º da Lei nº 93/2021 e a coimas da Comissão Nacional de Proteção de Dados (CNPD).

Identificação da entidade adotante. O preâmbulo deve identificar a denominação social registada na Conservatória do Registo Comercial, NIPC, sede, setor de atividade (CAE), número de trabalhadores e enquadramento jurídico (entidade pública/privada, tipo societário, grupo internacional). O número de trabalhadores é determinante para verificar a aplicação do limiar dos 50 ou 250 trabalhadores e os prazos de implementação correspondentes.

Âmbito subjetivo. A cláusula deve identificar com precisão quem pode utilizar o canal: trabalhadores com qualquer modalidade de vínculo (tempo indeterminado, a termo, cedência ocasional, contrato de prestação de serviços); ex-trabalhadores durante 6 meses após o termo da relação laboral; candidatos a emprego cuja relação não se constituiu; voluntários e estagiários, remunerados ou não; acionistas e titulares dos órgãos sociais e de fiscalização; trabalhadores de empresas contratadas para prestação de serviços; pessoas que prestem assistência ao denunciante (jornalistas, advogados, sindicatos). A enumeração deve replicar o artigo 5.º da Lei nº 93/2021.

Âmbito material. A cláusula deve identificar as infrações que podem ser objeto de denúncia através do canal interno, em conformidade com o artigo 2.º da Lei nº 93/2021: corrupção e infrações conexas; criminalidade económica e financeira; branqueamento de capitais; financiamento do terrorismo; contratação pública; produtos e mercados financeiros; segurança dos transportes; segurança alimentar e bem-estar animal; saúde pública e proteção dos consumidores; proteção do ambiente; segurança das redes e sistemas de informação; proteção de dados pessoais; mercado interno (concorrência, auxílios estatais, fiscalidade); interesses financeiros da União Europeia. A cláusula pode ainda alargar o âmbito a outras matérias relevantes para a entidade.

Responsável pelo Canal e equipa de tratamento. A cláusula deve designar nominalmente o Responsável pelo Canal, com indicação das qualificações, idoneidade e independência. O Responsável reporta diretamente ao órgão de administração e dispõe de autonomia funcional, recursos materiais e humanos suficientes, e acesso a toda a informação relevante. A função pode ser exercida internamente (Diretor de Compliance, Diretor Jurídico, Diretor de Auditoria Interna) ou externamente (escritório de advogados especializado, prestador de serviços de compliance). Para grupos de sociedades, a Lei nº 93/2021 admite a designação de Responsável único para todo o grupo, desde que assegure dedicação proporcional e independência face a cada entidade.

Meios de submissão. A cláusula deve identificar os meios de submissão das denúncias: correio eletrónico dedicado com encriptação; plataforma online dedicada com submissão anónima opcional; linha telefónica gravada com consentimento; comunicação presencial mediante agendamento. Pelo menos dois meios devem estar disponíveis. A submissão por canais não dedicados (correio eletrónico genérico, formulário no website corporativo) viola as exigências de confidencialidade do artigo 18.º da Lei nº 93/2021.

Aceitação de denúncias anónimas. A cláusula deve clarificar se a entidade aceita denúncias anónimas. A Lei nº 93/2021 não exige a aceitação, mas a sua recusa diminui a eficácia do canal e expõe a entidade ao risco de denúncias diretamente aos canais externos ou divulgação pública. A prática recomendada é aceitação com tratamento idêntico ao das denúncias nominativas, com validação reforçada da plausibilidade.

Procedimento de tratamento e prazos. A cláusula deve estabelecer os prazos legais: confirmação de receção em 7 dias após a submissão (artigo 11.º nº 1 alínea a)); análise preliminar em 30 dias para verificar verosimilhança; investigação interna em 3 meses, prorrogável por mais 3 meses com fundamento (artigo 11.º nº 1 alínea b)); comunicação ao denunciante das medidas tomadas em 3 meses após confirmação de receção, ou 6 meses em casos justificadamente complexos. A cláusula deve identificar a equipa de instrução, as regras de imparcialidade, a recolha de prova e a articulação com auditoria forense externa quando justificada.

Confidencialidade. A cláusula deve garantir confidencialidade absoluta da identidade do denunciante nos termos do artigo 18.º da Lei nº 93/2021. O acesso aos dados de identificação é restrito ao Responsável pelo Canal e aos colaboradores estritamente necessários ao tratamento, mediante compromisso reforçado de sigilo. A divulgação a terceiros só é admissível mediante consentimento expresso do denunciante ou imposição de lei ou ordem judicial.

Proibição de retaliação. A cláusula deve enunciar a proibição absoluta de retaliação nos termos do artigo 21.º da Lei nº 93/2021, com identificação não taxativa de atos considerados retaliatórios (despedimento, transferência, suspensão, alteração de funções, redução de remuneração, ações disciplinares, recusa de promoção, retirada de poderes, mudança de horário, prejuízo na avaliação de desempenho). A presunção legal de retaliação por 2 anos deve ser expressamente referida. A cláusula deve identificar as consequências da retaliação: contraordenação grave nos termos do artigo 27.º (coima entre 1 000 e 250 000 euros) e crime nos termos do artigo 27.º-A (pena até 3 anos de prisão).

Canais externos e divulgação pública. A cláusula deve identificar os canais externos disponíveis ao denunciante nos termos dos artigos 12.º a 14.º da Lei nº 93/2021: MENAC (corrupção), CNPD (proteção de dados), Banco de Portugal (instituições financeiras), CMVM (mercado de capitais), ASF (seguros), DGC (consumidor), ASAE (práticas comerciais), ANACOM (comunicações), ERSE (energia), ERS (saúde), IGAS (saúde pública), Ministério Público (qualquer crime). A divulgação pública é admissível nas condições do artigo 7.º.

Proteção de dados pessoais. A cláusula deve enquadrar o tratamento dos dados pessoais decorrentes da gestão do canal no Regulamento (UE) 2016/679 (RGPD) e na Lei nº 58/2019. A base de licitude é o cumprimento de obrigação legal nos termos do artigo 6.º nº 1 alínea c) do RGPD. Os dados são conservados pelo prazo necessário ao cumprimento das finalidades, com prazo máximo de 5 anos a contar da conclusão do procedimento. A CNPD é a autoridade de supervisão competente.

A forms-legal.com disponibiliza este modelo de Política de Denúncia de Irregularidades em Portugal como base estruturada para entidades obrigadas pela Lei nº 93/2021. A redação final deve ser revista por advogado inscrito na Ordem dos Advogados, com integração no Código de Conduta, na Política de Anticorrupção e no Programa de Cumprimento Normativo. Documentos relacionados disponíveis no nosso catálogo: Código de Conduta Empresarial (princípios éticos gerais) e Política de Prevenção e Combate à Corrupção (operacionalização específica do RGPC).

O preenchimento da Política de Denúncia de Irregularidades em Portugal segue uma sequência prática que assegura conformidade com a Lei nº 93/2021 e com o artigo 9.º do Decreto-Lei nº 109-E/2021.

Primeiro passo: identificar a entidade adotante e o seu enquadramento. Obtenha a certidão permanente atualizada na Conservatória do Registo Comercial e confirme a denominação social, NIPC, sede, setor de atividade (CAE) e número de trabalhadores. Verifique a aplicação dos limiares legais: 250 trabalhadores (obrigação desde 18 de junho de 2022), 50 a 249 trabalhadores (obrigação desde 17 de dezembro de 2023). Para grupos de sociedades, considere a aplicação consolidada. Para entidades em setores regulados (financeiro, segurador, mercado de capitais), verifique a obrigação independente da dimensão.

Segundo passo: nomear o Responsável pelo Canal. Aplique os requisitos da Lei nº 93/2021 e do artigo 11.º do Decreto-Lei nº 109-E/2021 (qualificações, idoneidade, independência). A função pode ser exercida internamente ou externamente. Para empresas de média dimensão, a contratação em outsourcing de advogado especializado é solução economicamente eficiente que assegura independência funcional. Para grandes empresas, a função interna integrada na Direção de Compliance é a prática consolidada. Para grupos de sociedades, é admissível Responsável único para todo o grupo desde que assegure dedicação proporcional.

Terceiro passo: configurar os meios de submissão. A solução mínima recomendada combina correio eletrónico dedicado e plataforma online. O correio eletrónico dedicado ([email protected]) deve ter encriptação ponto a ponto e acesso restrito ao Responsável pelo Canal. A plataforma online pode ser desenvolvida internamente ou contratada a fornecedor especializado (NAVEX, Whispli, EthicsPoint, Convercent, OneTrust), com possibilidade de submissão anónima através de canal seguro. Para entidades de maior dimensão ou com presença internacional, recomenda-se ainda a disponibilização de linha telefónica gravada com consentimento e canal de reunião presencial mediante agendamento.

Quarto passo: configurar a aceitação de denúncias anónimas. A Lei nº 93/2021 não exige a aceitação de denúncias anónimas, mas a sua recusa diminui significativamente a eficácia do canal. A prática recomendada é aceitação com tratamento idêntico ao das denúncias nominativas, com validação reforçada da plausibilidade pela equipa de instrução. As plataformas técnicas modernas permitem comunicação bidirecional com o denunciante anónimo através de código de acompanhamento, sem revelar a identidade.

Quinto passo: configurar o procedimento de tratamento. Defina os prazos legais (7 dias para confirmação de receção, 30 dias para análise preliminar, 3 meses para investigação interna prorrogável por mais 3 meses, 3 meses para comunicação ao denunciante das medidas tomadas, ou 6 meses em casos complexos). Defina a equipa de instrução (Responsável pelo Canal, jurista interno, recursos humanos quando envolvido trabalhador, auditoria interna quando envolvidos registos contabilísticos), as regras de imparcialidade (recusa quando exista conflito de interesses), a recolha de prova (documental, testemunhal, pericial) e a articulação com auditoria forense externa quando justificada por complexidade ou valor.

Sexto passo: configurar a confidencialidade. Implemente medidas técnicas e organizativas adequadas: encriptação dos canais; controlo de acessos baseado em perfis; segregação física dos arquivos de denúncias; pseudonimização dos dados nas comunicações internas; compromisso reforçado de sigilo dos colaboradores envolvidos; formação específica em proteção da identidade do denunciante. A divulgação a terceiros só é admissível mediante consentimento expresso do denunciante ou imposição de lei ou ordem judicial.

Sétimo passo: configurar a proibição de retaliação. Aprove instruções específicas aos responsáveis hierárquicos, departamento de recursos humanos e órgão de administração quanto à proibição absoluta de qualquer ato adverso contra denunciantes. Implemente monitorização ativa de potenciais retaliações no prazo de 2 anos após a denúncia (alterações na avaliação de desempenho, retirada de funções, mudanças de horário, recusa de promoção, ações disciplinares). Em caso de dúvida sobre a natureza retaliatória de um ato, exija parecer prévio do Responsável pelo Canal.

Oitavo passo: configurar a articulação com canais externos. Identifique os canais externos competentes consoante a natureza da infração: Mecanismo Nacional Anticorrupção (MENAC) para corrupção e infrações conexas; Comissão Nacional de Proteção de Dados (CNPD) para proteção de dados pessoais; Banco de Portugal para instituições financeiras; Comissão do Mercado de Valores Mobiliários (CMVM) para mercado de capitais; Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) para seguros; Direção-Geral do Consumidor (DGC) para proteção do consumidor; Autoridade de Segurança Alimentar e Económica (ASAE) para práticas comerciais; ANACOM para comunicações eletrónicas; ERSE para energia; ERS e IGAS para saúde; Ministério Público (Procuradoria-Geral da República e DCIAP) para qualquer crime.

Nono passo: aprovação, divulgação, formação e revisão. Aprove a Política por ata do órgão de administração competente em data certa. Divulgue aos trabalhadores nos termos do artigo 99.º do Código do Trabalho (afixação ou disponibilização eletrónica permanente). Implemente formação inicial e regular sobre o canal (com periodicidade não superior a 2 anos), com simulação de situações concretas. Reveja a Política pelo menos a cada 3 anos ou sempre que ocorra alteração legislativa relevante.

Os requisitos legais da Política de Denúncia de Irregularidades em Portugal resultam da articulação entre o Regime Geral de Proteção de Denunciantes (Lei nº 93/2021), o Regime Geral de Prevenção da Corrupção (Decreto-Lei nº 109-E/2021), o regime preventivo de branqueamento (Lei nº 83/2017), o RGPD e a Lei nº 58/2019.

Âmbito subjetivo de obrigatoriedade. O artigo 8.º da Lei nº 93/2021 impõe a adoção de canal interno de denúncia a todas as entidades públicas (independentemente da dimensão) e a todas as entidades privadas com 50 ou mais trabalhadores ao serviço. A obrigação aplicou-se a partir de 18 de junho de 2022 para entidades com 250 ou mais trabalhadores e a partir de 17 de dezembro de 2023 para entidades com 50 a 249 trabalhadores. Para grupos de sociedades, o limiar conta-se em base consolidada. As instituições de crédito, sociedades financeiras, empresas de investimento, sociedades gestoras de fundos e seguradoras têm obrigação independente do número de trabalhadores.

Elementos obrigatórios. O artigo 8.º nº 4 da Lei nº 93/2021 exige que o canal interno tenha pelo menos: meios técnicos adequados à submissão de denúncias (escrita ou verbal); pessoa singular ou unidade designada para receção, análise e tratamento; procedimento documentado com prazos legais; mecanismos de garantia da confidencialidade; mecanismos de proteção contra retaliação; informação clara e acessível ao denunciante. A integração com o Programa de Cumprimento Normativo é exigida pelo artigo 9.º do Decreto-Lei nº 109-E/2021.

Responsável pelo Canal. A Lei nº 93/2021 e o artigo 11.º do Decreto-Lei nº 109-E/2021 exigem a designação de pessoa singular ou unidade com qualificações adequadas, idoneidade e independência. O Responsável reporta diretamente ao órgão de administração e dispõe de autonomia funcional, recursos materiais e humanos suficientes, e acesso a toda a informação relevante. Para grupos de sociedades, é admissível Responsável único para todo o grupo.

Procedimento e prazos. O artigo 11.º da Lei nº 93/2021 estabelece os prazos: confirmação de receção da denúncia em 7 dias após a submissão; informação ao denunciante sobre as medidas tomadas em 3 meses após confirmação de receção, prorrogável por mais 3 meses em casos justificadamente complexos. A análise preliminar (verificação de verosimilhança e relevância) deve ser concluída em prazo razoável que permita o cumprimento dos prazos legais subsequentes. A investigação interna deve respeitar os princípios da imparcialidade, presunção de inocência do denunciado, contraditório e proporcionalidade.

Confidencialidade. O artigo 18.º da Lei nº 93/2021 garante confidencialidade absoluta da identidade do denunciante. O acesso aos dados de identificação é restrito ao Responsável pelo Canal e aos colaboradores estritamente necessários ao tratamento, mediante compromisso reforçado de sigilo. A divulgação a terceiros só é admissível mediante consentimento expresso do denunciante ou imposição de lei ou ordem judicial. A violação configura crime nos termos do artigo 27.º-A, com pena até 3 anos de prisão.

Proibição de retaliação. O artigo 21.º da Lei nº 93/2021 estabelece a proibição absoluta de retaliação contra denunciantes, com presunção legal de retaliação para qualquer ato adverso praticado contra o denunciante no prazo de 2 anos a contar da denúncia. Os atos considerados retaliatórios incluem (enumeração não taxativa): despedimento, suspensão, transferência, alteração de funções, redução de remuneração, modificação do horário de trabalho, ações disciplinares, recusa de promoção, retirada de poderes, prejuízo na avaliação de desempenho. A retaliação configura contraordenação grave nos termos do artigo 27.º (coima entre 1 000 e 250 000 euros) e crime nos termos do artigo 27.º-A (pena até 3 anos de prisão).

Canais externos e divulgação pública. Os artigos 12.º a 14.º da Lei nº 93/2021 reconhecem ao denunciante o direito de optar entre canal interno e canal externo. Os canais externos competentes consoante a natureza da infração são: Mecanismo Nacional Anticorrupção (MENAC); Comissão Nacional de Proteção de Dados (CNPD); Banco de Portugal; Comissão do Mercado de Valores Mobiliários (CMVM); Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF); Direção-Geral do Consumidor (DGC); Autoridade de Segurança Alimentar e Económica (ASAE); ANACOM; ERSE; ERS; IGAS; Ministério Público. A divulgação pública é admissível nas condições do artigo 7.º (denúncia interna ou externa não tratada em prazo razoável, perigo iminente ou manifesto para o interesse público, risco de retaliação ou ocultação de provas).

Proteção de dados pessoais. O tratamento dos dados pessoais decorrentes da gestão do canal está sujeito ao RGPD e à Lei nº 58/2019. A base de licitude é o cumprimento de obrigação legal nos termos do artigo 6.º nº 1 alínea c) do RGPD. As Orientações da Comissão Nacional de Proteção de Dados (CNPD) sobre canais de denúncia de 2022 detalham os requisitos: informação ao denunciante e ao denunciado nos termos dos artigos 13.º e 14.º; segurança nos termos do artigo 32.º (encriptação, pseudonimização, controlo de acessos, registo de auditoria); conservação limitada ao prazo necessário (5 anos a contar da conclusão do procedimento); respeito pelos direitos de acesso, retificação e oposição. A CNPD pode aplicar coimas administrativas até 20 milhões de euros ou 4% do volume de negócios anual mundial nos termos do artigo 83.º do RGPD.

Fiscalização e sanções. As contraordenações previstas no artigo 27.º da Lei nº 93/2021 são puníveis com coima entre 1 000 e 25 000 euros (contraordenação leve) e entre 1 000 e 250 000 euros (contraordenação grave). A fiscalização cabe ao Mecanismo Nacional Anticorrupção (MENAC) em matéria de corrupção e à CNPD em matéria de proteção de dados. As sanções acessórias incluem perda de subsídios públicos, encerramento de estabelecimento e publicação da decisão condenatória.

Os erros mais frequentes na adoção da Política de Denúncia de Irregularidades em Portugal expõem a entidade a contraordenações nos termos do artigo 27.º da Lei nº 93/2021, a coimas da Comissão Nacional de Proteção de Dados (CNPD) e a invalidade de denúncias para efeitos de proteção do denunciante.

Utilização de canais não dedicados. A receção de denúncias através de correio eletrónico genérico ([email protected]) ou de formulário no website corporativo viola as exigências de confidencialidade do artigo 18.º da Lei nº 93/2021. A solução é canal dedicado com encriptação ponto a ponto e acesso restrito ao Responsável pelo Canal, ou plataforma online especializada com submissão anónima opcional.

Ausência de Responsável pelo Canal designado. A omissão de designação formal expõe a entidade a contraordenação nos termos do artigo 27.º. A solução é nomeação por ata do órgão de administração, com indicação das qualificações, idoneidade e independência, e comunicação aos trabalhadores e parceiros.

Prazos legais não cumpridos. A não confirmação de receção em 7 dias ou a não comunicação das medidas tomadas em 3 meses configura contraordenação grave nos termos do artigo 27.º (coima entre 1 000 e 250 000 euros). A solução é implementação de plataforma técnica com alertas automáticos e calendarização rigorosa.

Falta de proteção contra retaliação. A omissão de instruções específicas aos responsáveis hierárquicos e ao departamento de recursos humanos quanto à proibição de atos adversos contra denunciantes nos primeiros 2 anos após denúncia é tratada como falha grave do dever de diligência. A solução é monitorização ativa de potenciais retaliações, com parecer prévio obrigatório do Responsável pelo Canal antes de qualquer alteração contratual ou disciplinar relativa a denunciante identificado.

Não aceitação de denúncias anónimas. A recusa pode parecer prudente do ponto de vista da gestão, mas reduz drasticamente a eficácia do canal e empurra os denunciantes para canais externos ou divulgação pública. A solução é aceitação com validação reforçada da plausibilidade pela equipa de instrução, e implementação de plataforma técnica que permita comunicação bidirecional com o denunciante anónimo.

Conservação de dados além do necessário. A retenção indefinida de dados de denúncias arquivadas viola o princípio da limitação da conservação do artigo 5.º alínea e) do RGPD. A solução é prazo máximo de 5 anos a contar da conclusão do procedimento, com pseudonimização ou anonimização posterior para fins estatísticos.

Falta de articulação com canais externos. A omissão de informação ao denunciante sobre os canais externos disponíveis (MENAC, CNPD, Banco de Portugal, CMVM, etc.) viola o dever de informação do artigo 11.º. A solução é cláusula específica que enumere os canais competentes consoante a natureza da infração, com hiperligações ativas para os portais oficiais.

Falta de formação documentada. A omissão de formação inicial e regular sobre o canal configura falha grave do dever de diligência. A solução é calendarização anual com registo documentado de presenças, conteúdos lecionados e avaliação de eficácia, e formação reforçada para responsáveis hierárquicos quanto à proibição de retaliação.