> Mapa artigo a artigo de como o EthicsPortal cumpre todos os requisitos da Diretiva (UE) 2019/1937 e do RGPD para a proteção dos denunciantes.
Source: https://ethicsportal.eu/pt/directive-coverage/
Updated: 2026-09-23
---
# Mapa de cobertura da Diretiva 2019/1937
O EthicsPortal foi construído para manter a sua organização em conformidade com a Diretiva (UE) 2019/1937, com a respetiva transposição nacional no seu país e com o RGPD. Cada funcionalidade mapeia diretamente para um requisito legal.
Esta página é o mapa funcionalidade-requisito: cada artigo da Diretiva é associado à capacidade específica do EthicsPortal que o satisfaz. Para saber como o EthicsPortal interpreta as disposições ambíguas desses artigos — o limiar dos 50 trabalhadores, o que conta como "seguimento diligente", as justificações de conservação, o fundamento jurídico do RGPD, a primazia do direito nacional — consulte as [interpretações](/directive-interpretations/) separadas.
Todos os 27 Estados-Membros da UE transpuseram a Diretiva para o direito nacional. A sua organização deve cumprir a lei nacional do seu país de atividade — consulte a nossa referência de [leis de proteção de denunciantes por país](/whistleblower-laws/) para nomes de leis específicos, sanções e autoridades responsáveis pela execução. As principais leis nacionais incluem a [Loi Waserman](/whistleblower-laws/france/) (França), a [HinSchG](/whistleblower-laws/germany/) (Alemanha), o [D.Lgs. 24/2023](/whistleblower-laws/italy/) (Itália), a [Ley 2/2023](/whistleblower-laws/spain/) (Espanha) e a [Lei de 14 de junho de 2024](/whistleblower-laws/poland/) (Polónia).
Última atualização: 2026-05-17.
---
## §1. Canais de denúncia (art. 8.º)
As organizações com 50 ou mais trabalhadores devem estabelecer canais de denúncia internos seguros.
| Requisito | Como o EthicsPortal o trata |
|---|---|
| Canal seguro para denúncia | Portal web cifrado com URL único por organização |
| Confidencialidade da identidade do denunciante | Cifragem ponta a ponta de todos os dados pessoais, sem registo de IP, remoção automática de metadados dos ficheiros carregados |
| Acessível a todos os trabalhadores | Portal baseado na web que funciona em qualquer dispositivo, sem instalação de aplicação nem conta exigida |
| Personalizável para a organização | Categorias, logótipo e mensagem de boas-vindas configuráveis |
---
## §2. Procedimentos de denúncia (art. 9.º) {#2-reporting-procedures-art-9}
| Requisito | Artigo | Como o EthicsPortal o trata |
|---|---|---|
| Designar pessoa ou serviço imparcial | Art. 9(1)(c)
| Sistema de atribuição de processos com acesso baseado em funções — só os gestores autorizados veem as denúncias |
| Acusar a receção no prazo de 7 dias | Art. 9(1)(b)
| Acompanhamento automático de prazos com notificações por email aos gestores quando o prazo de 7 dias se aproxima ou é excedido |
| Seguimento diligente pela pessoa designada | Art. 9(1)(d)
| Gestão de processos com fluxo de estados (recebido, com receção acusada, em investigação, encerrado), notas internas para a colaboração dos gestores e registo de auditoria completo |
| Dar seguimento no prazo de três meses | Art. 9(1)(f)
| Acompanhamento automático do prazo de 3 meses com alertas de atraso a todos os administradores da organização. Os denunciantes veem a cronologia no portal e podem consultar o estado a qualquer momento usando o seu ID do caso e o código de acesso |
| Permitir a denúncia oral (telefone, mensagem de voz ou reunião presencial a pedido) | Art. 9(2)
| Número de telefone configurável apresentado no portal; os gestores podem registar diretamente no sistema denúncias por telefone, presenciais e por carta |
| Informar sobre as opções de denúncia externa | Art. 9(1)(g)
| O portal apresenta informação sobre o direito do denunciante de contactar as autoridades nacionais competentes, citando a Diretiva 2019/1937 |
---
## §3. Âmbito da proteção (art. 4.º)
A diretiva protege não só os trabalhadores, mas também os prestadores de serviços, fornecedores, acionistas e outros terceiros.
O EthicsPortal apresenta no portal uma orientação clara de que a denúncia está aberta a trabalhadores, prestadores de serviços, fornecedores e quaisquer outros terceiros.
O formulário de receção também pergunta ao denunciante — opcionalmente — qual a sua relação com a organização (trabalhador atual ou antigo, prestador de serviços, fornecedor, candidato a emprego, acionista ou outra), espelhando as categorias do âmbito pessoal do art. 4.º, para que os gestores possam confirmar que a proteção se aplica. A pergunta pode ser ignorada, pelo que o anonimato nunca fica condicionado à resposta.
---
## §4. Antirretaliação (art. 6.º, 19.º-21.º)
Os denunciantes devem ser informados de que a retaliação é proibida por lei.
O EthicsPortal apresenta um aviso de antirretaliação em todas as páginas do portal, citando a Diretiva 2019/1937, antes de o denunciante submeter.
O formulário de receção permite ainda ao denunciante assinalar, opcionalmente, se receia ou já enfrenta retaliação. Quando definido, a denúncia exibe um indicador de urgência destacado na vista do gestor, para que um caso de proteção reforçada seja visível num relance.
---
## §5. Confidencialidade da identidade (art. 16.º) {#5-confidentiality-of-identity-art-16}
| Requisito | Como o EthicsPortal o trata |
|---|---|
| Identidade não divulgada além do pessoal autorizado | Controlo de acesso baseado em funções — só os administradores, o responsável principal e os participantes explicitamente adicionados (por exemplo, jurídico, RH) podem ver uma denúncia. Os gestores não administradores só veem os casos que lhes estão atribuídos ou em que foram adicionados como participantes |
| Anonimato do gestor perante o denunciante | Os denunciantes veem "Gestor do caso" nas mensagens, nunca o nome real ou o email do gestor |
| Dados sensíveis cifrados | Os nomes dos denunciantes, os dados de contacto, as descrições das denúncias e os corpos das mensagens são cifrados em repouso com cifragem não determinística |
**Sem tratamento por IA do conteúdo das denúncias.** A confidencialidade ao abrigo do Art. 16
estende-se a *quais terceiros* veem a denúncia. O EthicsPortal não transmite o conteúdo das denúncias, a identidade do denunciante nem as comunicações dos processos a qualquer grande modelo de linguagem ou serviço de inferência de IA — nem para categorização, nem para resumo, nem para tradução. Nenhum fornecedor de IA (OpenAI, Anthropic, Google, Mistral ou outro) é subcontratante. Isto remove uma classe de divulgação de subcontratantes do seu DPA e remove as considerações do Art. 22
(decisões automatizadas) da sua avaliação de impacto. Ver a [lista de subcontratantes](/subprocessors/) para a entrada correspondente.
Duas razões adicionais que tornam esta uma decisão de grau de confidencialidade, e não uma preferência de funcionalidade:
- **Sem alucinações na cadeia de evidência de conformidade.** Os grandes modelos de linguagem produzem resultados probabilísticos. Um resumo que diz "esta denúncia não parece urgente" é uma probabilidade, não um facto, e não pode ser reproduzido nem auditado. O EthicsPortal regista o ator, a ação e a data/hora de forma determinística — o registo de auditoria é evidência, não um palpite.
- **Sem superfície de ataque por injeção de prompts nas submissões dos denunciantes.** A entrada do denunciante é, por definição, não fidedigna. Encaminhá-la através de um LLM cria uma classe de ataque em que as instruções incorporadas no texto da denúncia podem manipular o resultado apresentado ao gestor (respostas sugeridas, resumos, categorização). O EthicsPortal remove inteiramente esta superfície ao não realizar inferência sobre o conteúdo das denúncias.
---
## §6. Manutenção de registos (art. 18.º)
| Requisito | Como o EthicsPortal o trata |
|---|---|
| Manter registos de cada denúncia | Registo de auditoria completo de todas as ações: submissões, alterações de estado, mensagens, atribuições e visualizações de denúncias |
| Registos armazenados em segurança | Todos os campos sensíveis cifrados em repouso |
| Registos recuperáveis | Exportação completa do processo para PDF, incluindo metadados, fio de mensagens, lista de anexos e registo de auditoria. Relatório de conformidade em PDF ao nível da organização disponível para os auditores — inclui lista de verificação da diretiva, métricas do SLA e resumo da proteção de dados, sem expor dados sensíveis das denúncias |
| Eliminar registos quando deixam de ser necessários | Prazo de conservação dos dados configurável (12, 24, 36 ou 60 meses) com eliminação automática das denúncias encerradas expiradas |
---
## §7. Conformidade com o RGPD {#7-gdpr-compliance}
| Requisito | Artigo | Como o EthicsPortal o trata |
|---|---|---|
| Fundamento jurídico para o tratamento | Art. 6.º, n.º 1, al. c) | O tratamento é necessário para o cumprimento da Diretiva (UE) 2019/1937 |
| Divulgação do tratamento de dados | Art. 13.º/14.º | Aviso de privacidade apresentado no formulário de submissão de denúncia antes de o denunciante submeter |
| Minimização dos dados | Art. 5.º, n.º 1, al. c) | Apenas os campos essenciais são recolhidos; o nome e o contacto do denunciante são opcionais |
| Limitação da conservação | Art. 5.º, n.º 1, al. e) | Prazo de conservação configurável por organização com eliminação automática |
| Integridade e confidencialidade | Art. 5.º, n.º 1, al. f) | Cifragem em repouso de todos os dados sensíveis; sem registo de IP nas rotas do portal; metadados dos ficheiros removidos automaticamente |
| Direito ao apagamento | Art. 17.º | Eliminação automática baseada na conservação; eliminação manual disponível aos administradores |
---
## §8. Medidas de segurança
| Medida | Detalhe |
|---|---|
| Cifragem em repouso | Todas as descrições das denúncias, nomes dos denunciantes, dados de contacto e corpos das mensagens são cifrados com cifragem não determinística |
| Sem registo de IP | Os endereços IP dos denunciantes nunca são armazenados — a limitação de débito usa hashes unidirecionais irreversíveis |
| Remoção dos metadados dos ficheiros | Os dados EXIF (coordenadas GPS, modelo da câmara, informação do autor) são removidos automaticamente das imagens carregadas antes do armazenamento |
| Identidade anónima do gestor | Os denunciantes nunca veem o nome real do gestor — as mensagens mostram "Gestor do caso" |
| Limitação de débito | Os pontos de extremidade do portal público são limitados em débito para prevenir abusos |
| Controlo de acesso | As permissões baseadas em funções garantem que só os gestores autorizados podem ver as denúncias; os gestores não administradores só veem os casos que lhes estão atribuídos ou em que foram adicionados como participantes |
| Registo de auditoria | Cada ação é registada com data/hora, ator e tipo de ação — só com acrescentos e sempre disponível para revisão regulamentar |
---
## §9. O que a sua organização ainda tem de fazer
O EthicsPortal trata os requisitos técnicos. A sua organização é responsável por:
- **Designar um responsável pela denúncia** — atribuir pelo menos uma pessoa responsável pelo tratamento das denúncias
- **Política interna** — adotar uma política de proteção de denunciantes e comunicá-la aos trabalhadores
- **Formação** — assegurar que os gestores designados compreendem as obrigações de confidencialidade
- **Aplicação da não retaliação** — assegurar que a gestão compreende que a retaliação é uma violação legal
- **Consentimento para a divulgação da identidade** — se a identidade de um denunciante tiver de ser partilhada além dos gestores autorizados (por exemplo, com as autoridades), obter primeiro o consentimento explícito do denunciante (Art. 16(2)
)
- **Informar os trabalhadores** — partilhar o URL do portal com os trabalhadores (o EthicsPortal fornece um link partilhável e um código QR)
---
## Tem questões?
Os administradores podem descarregar um **relatório de conformidade em PDF** diretamente da página de definições do portal. Inclui uma lista de verificação completa da Diretiva (UE) 2019/1937, métricas do SLA, medidas de proteção de dados e resumo do registo de auditoria — pronto a entregar a um auditor sem expor quaisquer dados sensíveis das denúncias.
Para requisitos específicos por país (sanções, prazos de conservação, autoridades responsáveis pela execução), consulte a nossa referência de [leis de proteção de denunciantes por país](/whistleblower-laws/).
Para saber como o EthicsPortal interpreta as disposições ambíguas da Diretiva (o limiar dos 50 trabalhadores, o que conta como "seguimento diligente", as justificações de conservação, o fundamento jurídico do RGPD), consulte as [interpretações da Diretiva 2019/1937](/directive-interpretations/).
Se precisar de ajuda para demonstrar a conformidade à sua equipa jurídica ou ao regulador, contacte-nos em [legal@ethicsportal.eu](mailto:legal@ethicsportal.eu).