Quem é quem
A empresa que recebe os relatos é a controladora: decide as finalidades e conduz a apuração. O fornecedor da plataforma atua como operador, tratando os dados em nome da empresa e conforme suas instruções.
Pontos de atenção
- Base legal definida pela empresa com o seu jurídico, considerando as obrigações legais e o exercício regular de direitos.
- Dados sensíveis, como saúde ou orientação sexual, exigem cuidado redobrado (art. 11).
- Minimização: pedir e manter apenas o necessário para a apuração.
- Acesso restrito às pessoas responsáveis, com registro das ações.
- Prazo de retenção definido e eliminação ao fim dele.
Segurança e incidentes
O controlador e o operador devem adotar medidas de segurança técnicas e administrativas (art. 46). Incidentes que possam gerar risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos titulares, conforme a regulamentação.
Transferência internacional
Quando a plataforma está hospedada fora do Brasil, a transferência deve se apoiar em um dos mecanismos do art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024).
Perguntas frequentes
Anonimato e confidencialidade são a mesma coisa?
Não. No anonimato, a empresa não sabe quem relatou. Na confidencialidade, a identidade é conhecida por poucas pessoas e protegida. Os dois exigem controle de acesso.
A pessoa citada pode pedir acesso ao relato?
Os direitos do titular devem ser equilibrados com a proteção de quem relatou e com a apuração. A resposta deve ser analisada caso a caso pelo controlador, com apoio jurídico.
Conteúdo informativo, que não substitui a leitura do texto oficial nem a avaliação jurídica ou de SST do caso concreto.
