Interpretações da Diretiva 2019/1937 #

Este documento regista como o EthicsPortal interpreta as disposições da Diretiva (UE) 2019/1937 que admitem mais do que uma leitura razoável. Está escrito para responsáveis de conformidade, encarregados da proteção de dados e consultores jurídicos que têm de tomar decisões operacionais defensáveis na ausência de orientação interpretativa autorizada da Comissão Europeia ou do Tribunal de Justiça.

É um documento vivo. Sempre que o Tribunal de Justiça, o Comité Europeu para a Proteção de Dados ou uma autoridade nacional competente emita uma interpretação vinculativa que difira das posições abaixo, este documento é revisto e a posição anterior é preservada no registo de revisões.

Para o mapa funcionalidade-requisito — qual a capacidade do EthicsPortal que satisfaz cada disposição da Diretiva — consulte o mapa de cobertura da Diretiva 2019/1937 . Os dois documentos são complementares: o mapa de cobertura documenta o que o produto faz; este documento documenta como lemos a lei.

Última atualização: abril de 2026.

§1. Âmbito e fontes #

Esta metodologia trata da Diretiva 2019/1937 conforme transposta para o direito nacional dos 27 Estados-Membros da UE. Quando a transposição nacional é mais rigorosa do que a Diretiva, a regra nacional prevalece para as organizações que operam nessa jurisdição (ver §9).

Fontes autorizadas, por ordem de precedência:

1. O próprio texto da Diretiva — Diretiva (UE) 2019/1937 de 23 de outubro de 2019, incluindo os seus considerandos.
2. As leis nacionais de transposição — vinculativas dentro de cada Estado-Membro. Ver leis de proteção de denunciantes por país para nomes de leis específicos e autoridades responsáveis pela execução.
3. Os acórdãos do Tribunal de Justiça da União Europeia — vinculativos em toda a União.
4. A orientação do Comité Europeu para a Proteção de Dados — para os aspetos de proteção de dados (artigo 17.º, sobreposição com o RGPD).
5. A orientação das autoridades nacionais competentes — persuasiva dentro do Estado emissor.

Este documento é metodologia operacional. Não é aconselhamento jurídico. As organizações devem validar as interpretações com consultores jurídicos competentes na sua jurisdição antes de nelas se basearem em auditoria ou em litígio.

§2. Convenções #

A Diretiva prevê introduz uma declaração do que o texto da Diretiva exige.

Na prática, isto significa introduz a interpretação do EthicsPortal quando o texto permite mais do que uma leitura.

O EthicsPortal implementa isto através de introduz como a interpretação se manifesta no produto. Os operadores que escolham uma interpretação diferente podem ter de ajustar a configuração ou os procedimentos em conformidade.

Todas as referências a artigos dizem respeito à Diretiva 2019/1937, salvo indicação em contrário.

§3. O limiar dos 50 trabalhadores (art. 8.º) #

A questão. O artigo 8.º, n.º 3, exige que as entidades com “50 ou mais trabalhadores” estabeleçam canais de denúncia internos. A Diretiva não define como se calcula o número de trabalhadores, como contam os trabalhadores a tempo parcial e temporários, nem se o limiar se aplica por pessoa coletiva ou por grupo de empresas.

A Diretiva prevê que “as entidades jurídicas do setor privado com 50 ou mais trabalhadores” devem cumprir (art. 8.º, n.º 3). O considerando 48 esclarece que o limiar é calculado “em conformidade com o direito nacional que transpõe o direito da União relevante”.

Na prática, isto significa que o cálculo segue as regras de contagem da mão de obra já existentes em cada Estado-Membro para fins laborais e de segurança social. Estas regras variam:

• Alemanha (HinSchG §12): número de trabalhadores com base no número de pessoas regularmente empregadas, contado por pessoa coletiva.
• França (Loi Waserman, art. 8.º): 50 trabalhadores calculados como o número médio mensal ao longo dos 12 meses anteriores.
• Itália (D.Lgs. 24/2023): emprego médio ao longo do ano anterior.
• Espanha (Ley 2/2023): 50 trabalhadores por entidade, com canais ao nível do grupo permitidos sob condições.

O limiar é calculado por pessoa coletiva, não por grupo de empresas. Uma sociedade-mãe e uma filial são entidades separadas para efeitos do artigo 8.º, salvo se o direito nacional dispuser de outro modo. O artigo 8.º, n.º 6, permite a partilha de recursos dentro de um grupo até 249 trabalhadores — mas a obrigação de estabelecer um canal continua a ser desencadeada por entidade acima do limiar dos 50 trabalhadores.

Os prestadores de serviços, os trabalhadores temporários cedidos por agência e os estagiários geralmente contam para o limiar quando se enquadram na definição nacional de “trabalhador” — que é mais ampla do que “empregado” no direito da UE. O Tribunal de Justiça tem sustentado de forma constante que o conceito de “trabalhador” no direito da UE inclui qualquer pessoa que preste serviços a outrem e sob a sua direção, em troca de remuneração (ver Lawrie-Blum, C-66/85).

O EthicsPortal implementa isto através de não condicionar o acesso ao número de trabalhadores. Qualquer organização pode ativar um portal independentemente da dimensão. As organizações abaixo do limiar dos 50 trabalhadores operam frequentemente portais de forma voluntária — por gestão de risco, porque o direito nacional aplica um limiar inferior ao seu setor (por exemplo, serviços financeiros), ou porque a política do grupo o impõe.

§4. O prazo para acusar a receção (art. 9.º, n.º 1, al. b)) #

A questão. O artigo 9.º, n.º 1, alínea b), exige a confirmação da receção “no prazo de sete dias a contar dessa receção”. A Diretiva não especifica dias de calendário ou dias úteis, nem quando o contador começa para as denúncias recebidas fora do horário de expediente.

A Diretiva prevê a confirmação “no prazo de sete dias a contar da receção”. Não é dada qualquer outra qualificação.

Na prática, isto significa sete dias de calendário, contados a partir do momento em que a denúncia entra no canal. Isto segue o princípio geral de que os prazos do direito da União correm em dias de calendário, salvo indicação expressa em contrário (Regulamento (CEE, Euratom) n.º 1182/71, art. 3.º). Os Estados-Membros que transpuseram a Diretiva trataram de forma constante o prazo de sete dias como dias de calendário (HinSchG §17(1)2; D.Lgs. 24/2023 art. 5.º, n.º 1, al. d); Loi Waserman art. 8.º).

Uma denúncia submetida às 23h59 de um domingo é uma denúncia recebida nesse domingo. O contador de sete dias começa no dia seguinte (dia 1 = segunda-feira) e expira no fim do sétimo dia. Isto segue o artigo 3.º, n.º 1, do Regulamento 1182/71, que prevê que, quando um prazo é expresso em dias, o dia do facto desencadeador não conta.

Acusar a receção não é o mesmo que dar resposta substantiva. A confirmação da receção é a confirmação de que a denúncia foi recebida e registada. Não tem de conter qualquer apreciação do mérito da denúncia, nem o nome da pessoa que a trata.

O EthicsPortal implementa isto através de enviar uma confirmação automática ao denunciante no momento da submissão, apresentada no portal e (quando são fornecidos dados de contacto) por email. A confirmação inclui a referência do caso e o prazo legal de três meses para dar seguimento. As organizações configuradas para confirmação manual recebem alertas de prazo 48 horas antes da marca dos sete dias e no dia da expiração.

§5. O prazo para dar seguimento (art. 9.º, n.º 1, al. f)) #

A questão. O artigo 9.º, n.º 1, alínea f), exige um seguimento “que não exceda três meses a contar da confirmação da receção ou, se nenhuma confirmação tiver sido enviada ao denunciante, três meses a contar do termo do prazo de sete dias após a denúncia ter sido feita”. A Diretiva não define o que se qualifica como “seguimento”.

A Diretiva prevê que “seguimento” significa “a comunicação ao denunciante de informação sobre as medidas previstas ou tomadas e os motivos do seguimento” (art. 5.º, ponto 13).

Na prática, isto significa que o seguimento é substantivo. Uma nova confirmação ou uma declaração de que a denúncia está “em análise” não é um seguimento para efeitos do artigo 9.º, n.º 1, alínea f). O denunciante tem o direito de saber, até à marca dos três meses, que medida a organização tenciona tomar (ou tomou) e o raciocínio subjacente.

O seguimento não tem de ser uma decisão final. Uma organização pode declarar que a matéria ainda está em investigação, desde que indique também o que foi feito até ao momento, que outras medidas estão previstas e quando se pode esperar uma nova atualização. O que se exige é informação suficiente para que o denunciante avalie se a organização está a tratar a denúncia com seriedade.

O contador de três meses corre a partir da data da confirmação da receção, não a partir da data de submissão da denúncia. Quando a confirmação é atrasada, a janela de seguimento encurta em conformidade — a data de seguimento mais tardia permitida é três meses e sete dias após a denúncia ter sido feita.

O EthicsPortal implementa isto através de acompanhar ambos os prazos (7 dias para acusar a receção, 3 meses para dar seguimento) por caso e exibir alertas de atraso a todos os administradores da organização. O seguimento ao denunciante é entregue através do canal de mensagens bidirecional do portal, que preserva o anonimato do denunciante quando este não revelou a sua identidade.

§6. Seguimento diligente (art. 9.º, n.º 1, al. d)) #

A questão. O artigo 9.º, n.º 1, alínea d), exige um “seguimento diligente pela pessoa ou serviço designado referido na alínea c)”. “Diligente” não é definido.

A Diretiva prevê que seguimento significa “as medidas tomadas pelo destinatário de uma denúncia ou por qualquer autoridade competente para avaliar a exatidão das alegações constantes da denúncia e, se for caso disso, para fazer face à violação denunciada” (art. 5.º, ponto 12).

Na prática, isto significa que o seguimento diligente tem três componentes operacionais mínimos:

1. Avaliação. Uma avaliação documentada de saber se as alegações, a serem verdadeiras, constituiriam uma violação dentro do âmbito material da Diretiva (art. 2.º) ou da transposição nacional.
2. Investigação proporcional à alegação. Medidas de investigação proporcionais à gravidade da alegada violação, à solidez da prova e ao dano potencial. Nem toda a denúncia justifica uma investigação completa; uma denúncia sem qualquer detalhe concreto pode ser avaliada e encerrada com uma fundamentação documentada. Uma denúncia com detalhe específico e corroborado justifica mais.
3. Registo contemporâneo. As medidas tomadas, as decisões tomadas e o seu raciocínio devem ser registados no momento em que ocorrem. Um seguimento diligente que não deixa rasto é indistinguível da ausência de seguimento.

“Diligente” é uma norma objetiva. Não se satisfaz apenas com a boa-fé subjetiva. Uma organização que encerra rotineiramente denúncias sem avaliação, ou que leva meses a abrir um processo, não é diligente, mesmo que acredite que o é.

O EthicsPortal implementa isto através de fornecer um fluxo de gestão de processos com transições de estado (recebido, com receção acusada, em investigação, encerrado), notas internas para a colaboração dos gestores e um registo de auditoria só com acrescentos que regista cada ação com data/hora e ator. O registo de auditoria é a principal evidência de diligência numa auditoria ou revisão regulamentar.

§7. Confidencialidade da identidade (art. 16.º) #

A questão. O artigo 16.º, n.º 1, exige que a identidade do denunciante não seja divulgada a ninguém além do pessoal autorizado. A Diretiva não especifica se “identidade” se estende a metadados que possam identificar o denunciante (endereços IP, impressões digitais do navegador, metadados de autoria de ficheiros, padrões de datas/horas).

A Diretiva prevê que “a identidade do denunciante não seja divulgada a ninguém além dos membros do pessoal autorizados competentes para receber ou dar seguimento a denúncias, sem o consentimento expresso dessa pessoa” (art. 16.º, n.º 1).

Na prática, isto significa que “identidade” é lida de forma funcional: inclui qualquer informação que, isoladamente ou em combinação, permita a identificação do denunciante. Esta leitura alinha-se com a definição de dados pessoais do RGPD (Regulamento (UE) 2016/679, art. 4.º, ponto 1) e com a posição constante do Comité Europeu para a Proteção de Dados de que a identificabilidade depende do contexto.

São tratados como informação de identidade:

• O nome do denunciante, os dados de contacto e qualquer informação que forneça sobre si próprio.
• O endereço IP a partir do qual a denúncia foi submetida.
• Os metadados de ficheiros incorporados nos documentos carregados (nome do autor, coordenadas GPS em fotografias, identificadores de dispositivos, histórico de revisões em documentos de escritório).
• Padrões de datas/horas ou de acesso que possam identificar de forma única uma pessoa (por exemplo, uma denúncia submetida a uma hora a que só um trabalhador poderia plausivelmente tê-la submetido).

As organizações que conservam os endereços IP dos denunciantes, ou que aceitam ficheiros carregados sem remover os metadados, ficam expostas a uma falha de confidencialidade que é tecnicamente uma violação do artigo 16.º, mesmo que o nome do denunciante nunca seja divulgado.

O EthicsPortal implementa isto através de nunca armazenar os endereços IP dos denunciantes (a limitação de débito usa hashes unidirecionais irreversíveis), remover os metadados EXIF e de documentos de todos os ficheiros carregados antes do armazenamento e cifrar os campos de identidade do denunciante em repouso com cifragem não determinística (de modo que mesmo o acesso total à base de dados não permita a consulta em massa por nome).

§8. Prazo de conservação (art. 18.º) #

A questão. O artigo 18.º, n.º 1, exige que os registos das denúncias sejam conservados “durante um período que não exceda o necessário e proporcionado para cumprir os requisitos impostos pela presente diretiva ou outros requisitos impostos pelo direito da União ou nacional”. A Diretiva não especifica um período máximo.

A Diretiva prevê uma norma de “necessário e proporcionado”, ancorada nas finalidades de conformidade.

Na prática, isto significa que a conservação deve ser justificada por referência a uma finalidade jurídica ou operacional concreta, limitada no tempo e documentada nos registos de proteção de dados da organização (art. 30.º do RGPD). Na ausência de uma investigação em curso, de litígio ou de uma exigência legal específica, a conservação para além do encerramento do caso torna-se progressivamente mais difícil de justificar.

Justificações comuns e as suas durações típicas:

A transposição nacional pode fixar períodos específicos. Exemplos:

• Alemanha (HinSchG §11(5)): documentação eliminada três anos após o encerramento do procedimento, com prazo mais longo apenas quando exigido por outras leis.
• França (orientação da CNIL sobre a Loi Waserman): prazos de conservação calibrados por tipo de caso, com os casos de rotina eliminados no prazo de dois meses após o encerramento se não houver seguimento.
• Itália (D.Lgs. 24/2023 art. 14.º): cinco anos a contar do encerramento da denúncia, sujeito à minimização do RGPD.

Um prazo de conservação genérico escolhido por conveniência (“guardamos tudo durante 10 anos”) não é conforme nem ao artigo 18.º nem ao artigo 5.º, n.º 1, alínea e), do RGPD. A conservação deve estar ligada a uma finalidade.

O EthicsPortal implementa isto através de fornecer prazos de conservação configuráveis (12, 24, 36, 60 meses) com eliminação automática das denúncias encerradas no fim do período configurado. A predefinição é o período mais curto que satisfaz os requisitos de transposição nacional mais comuns. Os operadores em setores com obrigações legais de conservação mais longas configuram o período em conformidade.

§9. Fundamento jurídico para o tratamento (interação com o RGPD) #

A questão. O artigo 17.º da Diretiva exige que o tratamento de dados pessoais cumpra o RGPD. A própria Diretiva não é um fundamento jurídico ao abrigo do artigo 6.º do RGPD — o responsável pelo tratamento deve identificar qual o fundamento específico aplicável.

A Diretiva prevê que o tratamento “seja efetuado em conformidade com o Regulamento (UE) 2016/679” (art. 17.º).

Na prática, isto significa que o fundamento jurídico é o artigo 6.º, n.º 1, alínea c), do RGPD — obrigação jurídica, quando a organização está sujeita a uma obrigação legal de estabelecer e operar um canal de denúncia. Para as organizações acima do limiar dos 50 trabalhadores (ou abaixo dele quando legislação setorial específica impõe a obrigação), o artigo 6.º, n.º 1, alínea c), é o fundamento correto e suficiente. Não é exigido consentimento do denunciante, e nenhum deve ser procurado — tratar o tratamento como baseado no consentimento seria enganador e criaria um direito teórico de retirada que o responsável pelo tratamento não pode honrar.

Para as organizações que operam um canal de denúncia voluntariamente (abaixo do limiar dos 50 trabalhadores e não sujeitas a um mandato setorial específico), o fundamento jurídico é o artigo 6.º, n.º 1, alínea f) — interesse legítimo, sujeito a um teste de ponderação documentado. O interesse legítimo na prevenção e deteção de irregularidades dentro da organização está bem estabelecido e tem sido reconhecido na orientação nacional dos vários Estados-Membros.

As categorias especiais de dados pessoais (art. 9.º do RGPD) podem surgir incidentalmente nas denúncias — uma denúncia de discriminação pode revelar informação de saúde ou origem étnica. O fundamento jurídico para os dados do artigo 9.º é geralmente o artigo 9.º, n.º 2, alínea g) — interesse público importante, desde que o tratamento seja proporcionado e acompanhado de salvaguardas específicas. As denúncias que revelam infrações penais (art. 10.º do RGPD) são tratadas ao abrigo do correspondente fundamento do artigo 10.º no direito nacional.

O EthicsPortal implementa isto através de documentar o artigo 6.º, n.º 1, alínea c), como o fundamento jurídico predefinido no acordo de tratamento de dados e no aviso de privacidade. Os operadores abaixo do limiar legal ajustam o aviso de privacidade para refletir o artigo 6.º, n.º 1, alínea f), e registam o seu teste de ponderação separadamente.

§10. Primazia do direito nacional (art. 25.º) #

A questão. O artigo 25.º, n.º 1, prevê que os Estados-Membros possam introduzir ou manter disposições “mais favoráveis aos direitos dos denunciantes” do que as estabelecidas na Diretiva. A Diretiva não trata de como os operadores devem resolver conflitos quando o direito nacional é mais rigoroso.

A Diretiva prevê no artigo 25.º, n.º 1, que “os Estados-Membros podem introduzir ou manter disposições mais favoráveis aos direitos dos denunciantes do que as estabelecidas na presente diretiva, sem prejuízo do artigo 22.º [direitos das pessoas visadas] e do artigo 23.º, n.º 2 [sanções por denúncias conscientemente falsas]”.

Na prática, isto significa que, quando a transposição nacional é mais rigorosa do que a Diretiva, o direito nacional prevalece para as organizações que operam nessa jurisdição. Não existe a opção de invocar o mínimo da Diretiva quando a regra local é mais rigorosa. A Diretiva estabelece um patamar mínimo, não um teto.

Exemplos práticos de regras nacionais mais rigorosas:

• A França exige a confirmação da receção das denúncias externas no prazo de sete dias úteis e um período de seguimento que pode ser mais curto do que o mínimo da Diretiva para certos setores (AMF, ACPR).
• A Alemanha estende explicitamente a proteção a denúncias sobre certas categorias de violações legais para além do âmbito material da Diretiva (HinSchG §2).
• A Itália impõe um limiar de trabalhadores inferior (50, mas com setores específicos a qualquer número de trabalhadores para certas entidades) e formalidades específicas de manutenção de registos.
• A Polónia impõe requisitos específicos sobre a forma da política do canal de denúncia que não constam do texto da Diretiva.

Para os operadores multipaís, a regra de funcionamento é: em cada jurisdição, aplicar a mais rigorosa de (Diretiva, direito nacional). Por vezes, isto significa que uma política de grupo define uma norma uniforme elevada que corresponde à regra nacional mais rigorosa em qualquer país de atividade. Isto é geralmente preferível a manter políticas paralelas por jurisdição, o que aumenta a carga administrativa e o risco de aplicar a regra errada.

O EthicsPortal implementa isto através de assumir por predefinição o denominador comum mais rigoroso entre os 27 Estados-Membros: os prazos mais curtos para acusar a receção e para dar seguimento, o prazo de conservação mais estreito, o aviso de antirretaliação mais completo. Os operadores numa única jurisdição podem relaxar predefinições específicas para corresponder às regras nacionais, mas a linha de base está calibrada acima do mínimo da Diretiva em todos os artigos em que as leis de transposição nacionais o excedem.

§11. Denúncia anónima (art. 6.º, n.º 2, art. 9.º, n.º 1, al. e)) #

A questão. Deve uma organização aceitar denúncias anónimas?

A Diretiva prevê no artigo 6.º, n.º 2, que “não afeta o poder de os Estados-Membros decidirem se exigem ou não que as entidades jurídicas […] aceitem e deem seguimento a denúncias anónimas”. O artigo 9.º, n.º 1, alínea e), exige um “seguimento diligente, quando previsto no direito nacional, no que respeita à denúncia anónima”.

Na prática, isto significa que o direito nacional decide. Duas posturas:

• Exigida em algumas jurisdições ou setores (por exemplo, a regulação francesa dos serviços financeiros).
• Permitida na maioria dos Estados-Membros — Alemanha (HinSchG), Itália (D.Lgs. 24/2023, com seguimento diligente obrigatório uma vez aceite uma denúncia), Polónia (Ustawa o ochronie sygnalistów) e outros.

Três consequências.

Uma vez aceite, vinculativo. Uma organização que publica “aceitamos denúncias anónimas” desencadeou o artigo 9.º, n.º 1, alínea e). A obrigação prende-se com a política, não com a denúncia individual.

A antirretaliação só se aplica a partir da identificação. O artigo 21.º não pode proteger uma pessoa desconhecida. As medidas tomadas durante o período anónimo não são retroativamente cobertas.

O anonimato é uma norma técnica, não uma promessa. Um formulário que recolhe um email não é anónimo. Um canal que regista endereços IP não é anónimo. A confidencialidade do artigo 16.º protege uma identidade conhecida da divulgação; o anonimato impede a identificação.

O EthicsPortal implementa isto através de aceitar denúncias anónimas por predefinição. Não são exigidos dados de contacto. Os endereços IP nunca são armazenados (a limitação de débito usa hashes unidirecionais irreversíveis). Os metadados dos ficheiros são removidos antes do armazenamento. Os operadores podem configurar o portal para exigir dados de contacto quando o direito nacional impõe denúncias identificadas. As denúncias anónimas aceites seguem o mesmo fluxo de processo, os mesmos prazos e a mesma norma de seguimento diligente que as identificadas.

Registo de revisões #

• Abril de 2026 — §11 acrescentada sobre a denúncia anónima (art. 6.º, n.º 2, art. 9.º, n.º 1, al. e)).
• Abril de 2026 — Publicação inicial.

Correções e questões #

Este documento destina-se a ser citado e invocado. Se identificar um erro, uma posição que entre em conflito com um acórdão do Tribunal de Justiça, um parecer do Comité Europeu para a Proteção de Dados ou orientação nacional vinculativa, contacte legal@ethicsportal.eu . As correções são publicadas no registo de revisões com data e resumo da alteração.

Para questões sobre como uma interpretação específica se aplica às circunstâncias da sua organização, este documento não substitui o aconselhamento jurídico. Contacte consultores jurídicos competentes na sua jurisdição.

Última atualização: 18 de junho de 2026