LGPDUm canal de denúncias trata dado sensível o tempo todo.

Uma denúncia de assédio costuma carregar saúde, orientação sexual, convicção e relação de trabalho. É a categoria mais protegida da LGPD chegando pelo canal mais informal da empresa.

Quem é controlador e quem é operador

A empresa que contrata o canal é a controladora: decide por que os dados são tratados e o que fazer com eles. Quem fornece o canal é operador, e trata os dados em nome dela, seguindo instrução.

Isso não é formalidade de contrato — define quem responde por quê. Um pedido de titular, uma decisão de apagar um caso, um prazo de guarda: a palavra final é da empresa, não do fornecedor. O Pode me contar atua como operador.

A base legal não é o consentimento

É o erro mais comum, e ele tem consequência prática. Consentimento na relação de trabalho é frágil: a lei pressupõe manifestação livre, e a assimetria entre empregado e empregador enfraquece essa premissa. Pior: consentimento pode ser revogado a qualquer momento, e uma apuração em curso não pode ficar dependendo disso.

Quando o canal existe para cumprir a Lei 14.457/2022 ou para alimentar o programa de riscos da NR-01, a base costuma ser cumprimento de obrigação legal. Fora dessas hipóteses, costuma ser legítimo interesse, que exige avaliação documentada. Para os dados sensíveis que aparecem no relato, o enquadramento é o do artigo 11.

Quem decide isso é o encarregado ou o jurídico da sua empresa. O canal precisa sustentar a escolha, não fazê-la por você.

Minimização: o melhor dado é o que não existe

A forma mais barata e mais segura de proteger um dado pessoal é não coletá-lo. Uma denúncia anônima no Pode me contar não pede nome, e-mail nem documento em momento nenhum. Não há cadastro, não há login e não há aplicativo.

Quando a pessoa escolhe se identificar, os campos de identificação são gravados criptografados e continuam criptografados em repouso. Identificar-se define quem pode ver o caso; não desprotege o dado.

Anônimo e pseudonimizado não são a mesma coisa

A LGPD trata o dado verdadeiramente anonimizado como fora do seu alcance — mas só quando a reversão é de fato inviável. Muito canal se anuncia como anônimo sendo apenas pseudonimizado: guarda um identificador que, cruzado com outra base, chega na pessoa.

Vale fazer esta pergunta a qualquer fornecedor, inclusive a nós: existe algum registro que, sozinho ou combinado com outro, leve de volta a quem enviou? Se existir, o canal é pseudonimizado, e o dado continua sob a LGPD inteira — com todas as obrigações que isso traz.

No Pode me contar não há conta a que associar um relato. A senha de acompanhamento é guardada apenas como hash, com salt próprio e cem mil iterações, e não é recuperável nem por nós. E as imagens JPEG e PNG têm os metadados EXIF removidos no servidor, incluindo a coordenada de onde a foto foi tirada.

O denunciado também é titular de dados

Essa parte quase nunca é dita, e é onde mora a tensão real. A pessoa citada numa denúncia tem dados pessoais sendo tratados ali, e tem direitos sobre eles.

Transparência total com o denunciado destrói o anonimato de quem denunciou. Sigilo absoluto ignora um direito legítimo. Não existe resposta automática para esse conflito, e desconfie de quem disser que existe.

O que dá para fazer é reduzir o dano dos dois lados: restringir quem enxerga cada caso, excluir do caso quem está em conflito de interesse, e registrar cada movimentação — para que a decisão, seja qual for, seja tomada com base em registro e não em memória.

O que está implementado

• Sem cadastro. Denúncia anônima não coleta nome, e-mail nem documento. Não existe usuário a quem associar o relato.
• Identificação criptografada. Quando a pessoa se identifica, os dados recebem uma camada de criptografia na própria aplicação, além da criptografia em repouso do banco.
• Senha só como hash. Derivação com salt individual e cem mil iterações. Não aparece no painel, não é recuperável, não existe rota que a revele.
• Metadados de imagem. EXIF removido de JPEG e PNG no servidor. Outros formatos aceitos, como PDF, são guardados exatamente como enviados — se o documento veio de um sistema interno, vale conferir os metadados antes de anexar.
• Isolamento entre empresas. Cada empresa enxerga exclusivamente os próprios casos.
• Conflito de interesse. Quem é citado numa denúncia é excluído daquele caso e não é notificado, mesmo tendo permissão para ver todas as manifestações.
• Trilha de auditoria. Criação, mudança de status e de gravidade, mensagens, notas internas, anexos, exportação de relatório e tentativa de acesso negada ficam registrados com autor, ação e data.
• Hospedagem no Brasil. Nuvem na região de São Paulo, com o ambiente administrado exclusivamente pela Pode me contar.

O que continua sendo responsabilidade da sua empresa

Sendo honesto sobre a divisão, porque fornecedor que promete resolver a LGPD inteira está vendendo:

• Prazo de guarda. A LGPD não fixa um prazo — quem define é a controladora. Não há descarte automático no canal; o expurgo é feito mediante solicitação da empresa.
• Registro das operações de tratamento. O ROPA é documento da empresa, e o canal entra nele como uma das operações.
• Resposta ao titular. Pedidos de acesso ou correção chegam para a controladora, que decide o que responder.
• Aviso de privacidade. O texto que explica ao empregado como o canal trata os dados dele é da empresa, e precisa refletir a base legal escolhida.

Base: Lei 13.709/2018 (LGPD) · Lei 14.457/2022 · NR-01

Leia também

• Canal de denúncias é obrigatório? — quando a lei exige, e o que fazer se a sua empresa não se enquadra.
• Ouvidoria ou canal de denúncias — o que cada um resolve e por que não se substituem.
• Planos e preços — valores publicados e o que está incluído em cada plano.