Canal de Denuncias 2026: Lei 93/2021, coimas ate 250.000 EUR

Da obrigação formal ao controlo efetivo

A Lei 93/2021, que transpôs para o direito português a Diretiva (UE) 2019/1937, esta em vigor desde junho de 2022. Durante quase três anos, muitas empresas portuguesas trataram a obrigação como uma simples instalação de um formulário online. Em 2026 essa abordagem deixa de ser segura. A Comissão Nacional de Proteção de Dados (CNPD) e a Inspecao-Geral de Finanças (IGF) iniciaram em janeiro de 2026 um plano coordenado de fiscalização do regime de proteção de denunciantes, com prioridade para os setores financeiro, sanitário, administrações publicas e empresas com mais de 250 trabalhadores.

O regime aplica-se a todas as entidades publicas e privadas com 50 ou mais trabalhadores, e a algumas entidades reguladas independentemente do numero de trabalhadores (instituições de credito, sociedades de investimento, sujeitos obrigados pela legislação de combate ao branqueamento de capitais).

O que o regulador procura: um rasto documental verificável

A Lei 93/2021 não se limita a exigir a existência de um canal interno de denuncia. Exige um conjunto de garantias documentais que só funcionam se houver um sistema de arquivo robusto. Em fiscalização, a CNPD e a IGF verificam tipicamente:

• Política do canal interno de denuncia aprovada pelo órgão de administração, com data e assinatura
• Identidade do responsável de seguimento, designado por escrito e com formação documentada
• Registo de todas as denuncias recebidas, com identificador único, data de entrada e classificação da matéria
• Acuso de receao emitido no prazo de 7 dias
• Comunicação do resultado das diligencias no prazo máximo de 3 meses (prorrogável ate 6 meses com fundamentação escrita)
• Avaliação de impacto sobre a proteção de dados (AIPD) atualizada
• Registo de atividades de tratamento ao abrigo do RGPD
• Provas de divulgação do canal a colaboradores externos: subcontratados, prestadores de serviços, voluntários, candidatos
• Plano de formação com lista de presenças datada
• Período de conservação de pelo menos 5 anos para todos os registos, prorrogável se houver processo judicial em curso

Três falhas típicas que estão a gerar coimas em 2026

As primeiras 40 decisões sancionatorias da CNPD em matéria de canal de denuncias, conhecidas no primeiro trimestre de 2026, evidenciam padrões consistentes:

1. Canais que não garantem o anonimato real. Muitas organizações utilizam um endereço de e-mail genérico ou um formulário que captura o IP do denunciante. A CNPD considera que isso viola o principio da confidencialidade do artigo 14.o e aplica coimas entre 20.000 e 80.000 EUR para as primeiras infrações.

2. Não cumprimento dos prazos de resposta. O prazo de 7 dias para o acuso de receao e de 3 meses para a resposta são incumpridos com regularidade. A CNPD exige documentação escrita de qualquer prorrogação, com motivos claros. Coimas habituais entre 10.000 e 60.000 EUR.

3. Documentação RGPD desatualizada. A maioria das empresas atualizou a AIPD apos a entrada em vigor do RGPD em 2018, mas não a reviu apos a Lei 93/2021. As inspeções combinadas CNPD-IGF detetam essa lacuna e abrem dois processos paralelos: um por incumprimento da Lei 93/2021 e outro por violação do RGPD.

O quadro sancionatório

A Lei 93/2021 distingue três níveis de infração:

• Contraordenações muito graves: coima de 1.000 a 25.000 EUR para pessoas singulares e de 10.000 a 250.000 EUR para pessoas coletivas. Inclui retaliações, violação do dever de confidencialidade, obstrução
• Contraordenações graves: coima de 500 a 12.500 EUR para pessoas singulares e de 1.000 a 125.000 EUR para pessoas coletivas. Inclui ausência ou inadequacao do canal interno, falta de seguimento
• Sanções acessórias: publicação da decisão condenatória no portal da CNPD, interdição de exercício de atividade ate 2 anos, exclusão de fundos públicos e contratos com o setor publico

A retaliação contra o denunciante (despedimento, transferência, exclusão de promoção, recusa de formação) constitui contraordenação muito grave de forma autónoma e da lugar também a presunção de nexo de causalidade no processo laboral.

Onde o arquivo digital faz a diferença em fiscalização

A CNPD publicou em fevereiro de 2026 um guia técnico que detalha as características de um sistema de arquivo aceitável. Três requisitos são não negociáveis:

1. Selo temporal qualificado (eIDAS) em cada fase do processo (entrada, acuso, instrução, decisão)
2. Trilha de auditoria inalterável: registo de quem acedeu, quando, e a que documento
3. Conservação por pelo menos 5 anos com copia de segurança em local geograficamente separado

Se o processo for judicializado, a conservação prolonga-se ate ao transito em julgado mais 5 anos. Em casos de proteção do denunciante apos retaliação, o período pode chegar a 15 anos para alguns documentos.

Plano de ação para o segundo semestre de 2026

O segundo semestre e a janela pratica para evitar fiscalização. As prioridades:

1. Auditoria do canal contra o guia técnico CNPD: anonimato, encriptação, ausência de captura de metadados pessoais
2. Atualização da AIPD e do registo de atividades de tratamento
3. Centralização de todos os processos num arquivo digital com selo temporal e trilha de auditoria
4. Confirmação da designação escrita do responsável de seguimento, com plano de formação continua
5. Documentação da divulgação do canal a colaboradores externos: subcontratados, fornecedores, voluntários
6. Programação de formação anual obrigatória com registo de presenças

As empresas portuguesas que adiarem estas obrigações para 2027 estarão expostas no próximo ciclo de fiscalizações. As que estruturarem o arquivo agora reduzem materialmente o risco de coimas, exclusão de contratos públicos e dano reputacional.