LGPD e investigação corporativa: o que é permitido e o que pode invalidar suas provas

A LGPD não proíbe investigações. Ela exige que sejam feitas corretamente.

Existe uma percepção equivocada de que a Lei Geral de Proteção de Dados (Lei 13.709/2018) impede as empresas de investigar fraudes e irregularidades internas. Isso não é verdade. A LGPD prevê bases legais que permitem o tratamento de dados pessoais em contextos investigativos. O que ela exige é que esse tratamento seja feito com base legal adequada, proporcionalidade e documentação.

Investigar é tratar dados pessoais: coletar, consultar, cruzar, guardar e compartilhar informações sobre pessoas. A lei abre exceção para a investigação e a repressão de infrações penais (art. 4º, III), mas ela trata da atividade do Estado. A apuração conduzida por uma empresa segue a LGPD por inteiro.

As bases legais que sustentam uma investigação

Todo tratamento de dados precisa se apoiar em uma das bases legais do art. 7º. Três costumam sustentar a investigação corporativa:

• Legítimo interesse (art. 7º, IX): apurar fraude, desvio ou outra conduta ilícita contra a empresa é um interesse legítimo. A base deixa de valer quando prevalecem os direitos e as liberdades fundamentais do titular, que é a pessoa a quem os dados se referem. O art. 10 limita o tratamento aos dados estritamente necessários.
• Exercício regular de direitos (art. 7º, VI): cobre o tratamento necessário para a empresa agir ou se defender em processo judicial, administrativo ou arbitral.
• Obrigação legal ou regulatória (art. 7º, II): vale quando uma lei ou um regulador obriga a empresa a apurar fatos, guardar registros ou comunicar ocorrências.

O consentimento raramente serve. A lei exige que ele seja livre (art. 5º, XII), e na relação de trabalho a subordinação põe essa liberdade em dúvida. Além disso, ele pode ser revogado a qualquer momento.

Com dados sensíveis, como saúde, biometria, religião, opinião política e filiação sindical, a regra é mais dura (art. 11). O legítimo interesse não está entre as hipóteses. Em uma apuração, as mais prováveis são o exercício regular de direitos e a obrigação legal, e só quando o dado for indispensável.

Os princípios que limitam a coleta

Ter base legal não basta. O art. 6º traz princípios que valem para toda a apuração:

• Finalidade: investiga-se um fato determinado, não a vida de uma pessoa.
• Necessidade: coleta-se o mínimo que a apuração exige.
• Segurança: os dados ficam protegidos de acessos não autorizados.
• Transparência: as políticas internas informam que os recursos da empresa podem ser analisados em apurações.
• Prestação de contas: a empresa precisa conseguir demonstrar o que fez e por quê.

O que costuma ser permitido

Com base legal definida e coleta proporcional, a empresa em geral pode:

• analisar e-mail corporativo, arquivos e registros de acesso dos seus próprios sistemas;
• consultar registros e bases públicas;
• ouvir pessoas que aceitam prestar depoimento;
• contratar apoio externo para a investigação.

Dois cuidados. A Justiça do Trabalho costuma aceitar a análise do e-mail corporativo, por ser ferramenta de trabalho. A posição da empresa fica mais segura quando o funcionário foi avisado em política interna. E dado público continua sendo dado pessoal: o uso deve considerar a finalidade, a boa-fé e o interesse público que justificaram a divulgação (art. 7º, §3º).

O que entra na zona de risco

• Dispositivos pessoais: celular e computador particulares, mesmo quando conectados à rede da empresa.
• Contas pessoais: e-mail particular, aplicativos de mensagem e redes sociais privadas. Interceptar comunicações sem ordem judicial é crime (Lei 9.296/1996, art. 10), e invadir dispositivo alheio também (Código Penal, art. 154-A).
• Gravações: os tribunais costumam aceitar a gravação feita por quem participa da conversa. Gravar conversa de terceiros é outra situação. Em entrevistas internas, o caminho mais seguro é gravar com o conhecimento do entrevistado.
• Coleta em excesso: dados de saúde, religião, política ou vida íntima sem relação com o fato apurado.
• Compartilhamento: envio de dados ou do relatório a quem não precisa conhecê-los, ou sem base legal.

O que pode invalidar suas provas

A Constituição não admite no processo provas obtidas por meios ilícitos (art. 5º, LVI). Uma coleta que viola o sigilo das comunicações ou a intimidade de alguém (art. 5º, X e XII) pode ser descartada pelo juiz, e as provas que nasceram dela podem ter o mesmo destino.

Nem toda falha de LGPD leva a esse resultado. Os tribunais analisam caso a caso. Mas a falha dá argumento à outra parte e traz riscos próprios. A Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar as sanções do art. 52, como advertência, multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e bloqueio ou eliminação dos dados. O titular também pode pedir indenização (art. 42).

A forma da coleta também conta. Sem registro de origem e de guarda, até uma prova lícita perde força. Veja os guias sobre prova digital em juízo e como provar fraude corporativa.

Como documentar a investigação

A LGPD pede que a empresa mantenha registro das operações de tratamento, especialmente quando a base for o legítimo interesse (art. 37). Na prática, o arquivo da investigação deve reunir:

• Finalidade e escopo: que fato se apura e que dados são necessários.
• Base legal: qual hipótese sustenta cada tipo de dado.
• Justificativa de necessidade: por que o interesse é legítimo, por que a coleta é necessária e como os direitos do titular foram considerados. A ANPD tem um guia orientativo sobre o legítimo interesse.
• Relatório de impacto à proteção de dados: a ANPD pode solicitá-lo quando o tratamento se apoia no legítimo interesse (art. 10, §3º). Vale prepará-lo nos casos de maior risco.
• Registro de acessos: quem viu os dados, quando e para quê.
• Prazo de guarda: por quanto tempo os dados ficam e como são descartados.

Quando há apoio externo

Contratar uma agência não transfere a responsabilidade. A empresa, em regra, continua sendo a controladora, que decide sobre o tratamento. Quem investiga em nome dela pode atuar como operador, que segue as instruções do controlador (art. 39). O contrato deve deixar claros os papéis, a finalidade, o sigilo, as medidas de segurança e o destino dos dados ao fim do trabalho.

A Lei 13.432/2017 regula a investigação particular. Ela exige que o serviço seja registrado em contrato escrito e inclui entre os deveres do profissional o respeito à intimidade, à privacidade, à honra e à imagem das pessoas.

Nas investigações corporativas da Bsociety, a coleta é dimensionada à finalidade e à base legal aplicável e documentada desde o início. A investigação interna e o programa de compliance partem do mesmo princípio.

Este texto é informativo. A aplicação a um caso concreto deve ser avaliada com o jurídico da empresa.