举报制度与举报人的个人数据保护

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

对于巴西各类组织而言，保护举报人的个人数据，是举报渠道（whistleblowing）真正发挥作用的根本支柱之一。

巴西举报制度的背景与数据保护的必要性

近年来，巴西企业设立举报渠道的做法明显增多，一方面是反腐败立法的推动，另一方面是合规（compliance）体系的要求日益严格。所谓whistleblowing，是指员工、合作伙伴或第三方就违规行为进行举报的做法，如今已成为公司治理中不可或缺的工具。然而，这些渠道能否真正发挥作用，直接取决于举报人对该系统的信任；而这种信任，又与举报人的个人数据能否得到最严格的处理密切相关。

从巴西的规范体系来看，《通用数据保护法》（第13.709/2018号法律）所确立的原则和规则，直接适用于举报渠道中所收集信息的处理。举报人的身份、所提交的举报内容、被举报人的数据，乃至证人的信息，都属于个人数据（在许多情况下还属于敏感个人数据），需要有适当的法律依据、更为严格的安全措施，以及明确的数据留存政策。忽视这一层面，既会使组织面临重大的监管风险，也会损害举报渠道本身的公信力。

可以看到，许多组织仍把举报渠道当作独立于隐私保护体系之外的工具，由此留下了危险的漏洞。反腐败合规与数据保护的融合，不仅是值得推荐的做法，更是必要之举，唯有如此，举报制度才能在履行其功能的同时，不侵害相关各方的基本权利。

这一主题与公共机构之间的数据共享有直接关联，我们已就该主题撰写了专门的文章。

这一主题与工作场所的隐私有直接关联，我们已就该主题撰写了专门的文章。

举报渠道数据处理适用的法律依据

在运营举报渠道时，最敏感的问题之一，就是确定授权处理所收集个人数据的法律依据。在一些较为简单的情形中，数据主体的同意很容易取得；但举报的情境有其特殊性，使得”同意”这一依据往往并不适当。举报人在报告违规行为时提供个人数据，多数情况下并不处于能够自由表达意愿的状态，尤其是在其与被举报人之间存在从属关系时。

举报渠道能否真正发挥作用，直接取决于举报人对其个人数据受到保护的信任，而这种信任来自透明度、技术安全和稳固的法律治理。

在这种情况下，我们认为较为适当的法律依据通常包括：控制者的正当利益（LGPD第7条第IX项）、履行法律或监管义务（第7条第II项），以及在特定情形下，为在司法、行政或仲裁程序中正常行使权利（第7条第VI项）。具体选择哪一种依据，取决于个案：如果设立渠道是出于行业规范的要求，则以履行法律义务为依据更为妥当；如果企业是自愿设立渠道，作为其廉洁合规体系的一部分，则以正当利益为依据往往更为稳固。

对于敏感个人数据（可能出现在涉及歧视、骚扰或健康问题的举报中），分析就更加严格。LGPD第11条限制了处理此类数据的情形，组织必须证明，处理目的足以正当化这一特殊类别的数据处理。建议在任何举报渠道开始运营之前，先按照LGPD第38条的规定编制《个人数据保护影响评估报告》（RIPD），记录所选择的法律依据、已识别的风险以及采取的缓解措施。

正当利益的作用与利益平衡测试

以正当利益作为法律依据时，必须进行利益平衡测试（Legitimate Interest Assessment）。通过这一测试，我们评估组织维持举报渠道的利益，是否优先于相关数据主体的基本权利与自由。测试应当考虑数据主体的合理预期、处理的相称性，以及是否存在适当的保障措施，例如数据假名化和对所收集信息的访问限制。

保护举报人的技术与组织措施

对举报人数据的保护，并不止于选择适当的法律依据。它还需要一整套相互配合的技术和组织措施，以确保举报在整个生命周期内信息的保密性、完整性和可用性。从举报内容被记录的那一刻起，直到其最终被删除，每个环节都需要有具体的管控措施。

在技术层面，值得强调的有：渠道通信的端到端加密；存储环境的隔离（防止举报数据与公司其他数据库相互混杂）；基于角色的精细化访问控制；以及记录每一次查阅或操作数据的审计日志。只要条件允许，对举报人数据进行假名化，就能显著降低被不当识别的风险，在调查的初始阶段尤其如此。

在组织层面，我们认为必须明确划分角色与职责：谁接收举报，谁负责调查，谁能接触举报人的身份，以及在何种情形下可以披露这一身份。对参与渠道运营的团队进行定期培训同样重要，因为人为失误是造成保密性被破坏的主要原因之一。”need-to-know”（仅限于严格必要范围内的访问）内部政策应当形成书面文件，并定期接受审计。

匿名举报的问题

许多组织提供匿名举报的可能性，以鼓励举报并保护举报人。从数据保护的角度来看，匿名举报的好处在于，可以消除（或大幅减少）对举报人个人数据的处理。但仍须谨慎：即便是名义上匿名的举报，技术元数据（如IP地址、访问时间和所用设备的特征）也可能使举报人被重新识别。因此，匿名化必须是切实有效的，而不能只是形式上的，要包括删除或模糊处理这些元数据。

数据的留存与删除

另一个关键问题涉及所收集数据的留存期限。截至目前，巴西法律中并没有统一的规则来规定举报数据应当保存多长时间。建议在制定留存政策时，综合考虑所举报违法行为适用的诉讼时效（时效可能因违法性质而异）、行业监管机构的要求，以及为组织可能的抗辩而保留证据材料的必要性。留存期限届满后，应按照LGPD第16条的规定，以安全且有书面记录的方式删除数据。

数据主体的权利及其在内部调查中的限制

LGPD赋予个人数据主体一系列广泛的权利，包括访问、更正、删除和可携带权。然而，在举报渠道和内部调查的情境下行使这些权利，会产生显著的张力，我们需要仔细加以审视。

设想这样一种情形：被举报人得知有调查正在进行后，行使其对组织所处理个人数据的访问权。若无保留地满足这一请求，可能会妨碍正在进行的调查，暴露举报人的身份（使其面临遭受报复的风险），并影响证据的收集。LGPD第18条第2款本身以及学界观点都认为，数据主体的权利并非绝对，在存在正当理由时可以受到限制，例如为保障内部调查或正常行使权利。

不过，这种限制必须相称且有充分依据。这并不是要系统性地拒绝被举报人的权利，而是要把握满足其权利的时机与范围。较好的做法是告知被举报人其数据正在被处理（履行透明义务），但不披露可能妨碍调查或使举报人被识别的细节。调查结束后，在尊重仍然存在的法定限制的前提下，可以更全面地满足被举报人的权利。

就举报人而言，其权利包括在作出举报之前就能了解其数据将如何被处理。因此，建议举报渠道以清晰、易于获取的方式提供专门的隐私声明，详细说明处理目的、所采用的法律依据、数据接收方、留存期限，以及数据保护负责人（DPO）的联系方式。这种事先的透明，既能增强对系统的信任，也体现了组织对合规的承诺。

举报项目中的数据尽职调查

举报项目背景下的数据尽职调查（due diligence），是指对举报渠道中个人数据处理的各个方面进行系统、定期的评估。这一评估应涵盖从法律依据是否适当，到所实施安全措施是否有效，还包括与第三方（如举报渠道技术平台）所签合同的合规性、内部政策的更新以及团队培训。

在对举报渠道开展数据尽职调查时，需要核查：数据映射（data mapping）是否已更新；RIPD是否已编制并经过复核；与数据处理者（如渠道平台供应商）签订的合同，是否按照LGPD第39条的规定包含适当的数据保护条款；是否有针对涉及举报数据的安全事件的书面应对程序；以及组织是否已做好准备，满足巴西国家数据保护局（ANPD）提出的要求。

数据尽职调查还应评估数据的跨境传输。在跨国集团中，这种情况十分常见，其举报渠道往往由设在境外的服务商运营。此时，需要核查接收国是否提供了适当的保护水平（依据ANPD的评估），或者是否已采取适当的保障措施，例如标准合同条款。

建议举报项目中的数据尽职调查至少每年进行一次；若渠道运营发生重大变化、更换服务商、出现重要的规范更新或发生安全事件，也应随时开展。调查结果应形成书面记录并向高级管理层报告，纳入合规体系持续改进的循环之中。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.