A União Europeia lançou em abril de 2018 uma proposta para a criação de uma Diretriz a fim de uniformizar as regras de proteção ao denunciante (whistleblower) e sinalizar a devida proteção que lhe deve ser dada ao denunciar uma irregularidade cometida por uma empresa.
Desde então, o Parlamento Europeu, seguido pelo Conselho da União Europeia, adotaram a Diretriz 1937/2019, que acabou entrando em vigor em 16 de dezembro de 2019; sendo importante salientar que aos Estados-Membros foi concedido o prazo até dezembro/2021 para incorporar tais regras em suas respectivas leis nacionais.
De acordo com a Diretriz, empresas com mais de 50 (cinquenta) funcionários ou, ainda, mais de €10 milhões de euros de faturamento anual serão obrigadas a criar canais de comunicação internos que possibilitem o recebimento de denúncias de irregularidades por parte de seus colaboradores ou terceiros. Empresas com 250 (duzentos e cinquenta ou mais funcionários devem cumprir tal obrigatoriedade dentro de 2 (dois) anos após a adoção de tal Diretriz pelo país, ao passo que empresas com 50 (cinquenta) a 250 (duzentos e cinquenta) funcionários têm mais 2 (dois) anos de prazo para a implementação. Para as empresas com menos de 50 (cinquenta) funcionários, não há obrigatoriedade de ter canais para relatos de má conduta.
Ao denunciante, deve ser dada a oportunidade de denunciar alguma má-conduta por escrito em um sistema online ou por e-mail, por correspondência ou oralmente, por uma linha telefônica dedicada ou um correio de voz. A critério do denunciante, as empresas são inclusive obrigadas a oferecer uma reunião pessoal, caso seja solicitada. Por outro lado, é um dever das empresas garantir a confidencialidade da identidade do denunciante. Em algumas legislações, como a lei anticorrupção francesa Sapin II, já existe inclusive a penalidade prevista na lei, se isso ocorrer.
A proteção aplica-se não apenas a funcionários da empresa, mas também a candidatos a emprego, ex-funcionários, apoiadores do denunciante e até mesmo jornalistas. Todas essas pessoas acabam sendo protegidas contra demissão, difamação e quaisquer outras formas de discriminação ou retaliação. Não obstante, tal proteção é aplicada apenas a denúncias de irregularidades ou violações à legislação da União Europeia, tais como, fraudes em compras públicas, fraudes fiscais, lavagem de dinheiro, proteção de dados pessoais, proteção do consumidor, infrações a contratos públicos, segurança rodoviária e de produtos, proteção ambiental e saúde pública. A despeito dessa limitação introduzida pela Diretriz, a própria União Europeia está incentivando que tal proteção seja estendida a qualquer denúncia, cuja natureza seja relacionada à alguma violação da lei interna do país, Estado-Membro do grupo.
Embora o denunciante seja encorajado a fazer primeiramente a denúncia internamente à sua empresa ou mesmo à autoridade competente, ele poderá denunciar publicamente a situação e gozar da proteção conferida pela Diretriz incorporada à legislação local, caso nenhuma providência seja tomada. Por outro lado, a Diretriz deixa a cargo da empresa a escolha de qual será a função responsável por receber e apurar a denúncia, podendo ser o compliance officer, o gestor de RH, o gestor jurídico, o diretor financeiro (CFO), um membro do board ou até mesmo alguém externo contratado para tal finalidade.
Recebida a denúncia, a empresa deve confirmar o recebimento da mesma ao denunciante, se identificado, no prazo de 7 (sete) dias. É também um direito do denunciante, receber, dentro de 3 (três) meses, o status da investigação interna e os seus resultados, independente dele ser um funcionário da empresa ou não. A autoridade também deve ser paralelamente informada, por via dos canais estabelecidos para tal fim.
Toda a investigação deve possuir as medidas de segurança e controle de acesso adequados, não apenas para a defesa dos dados pessoais envolvidos, mas para garantir a preservação de eventuais provas que possam ser utilizadas posteriormente, se necessário.
Todos os dados pessoais de denunciante, denunciados e demais participantes em eventual investigação devem ser tratados consoante as normas em vigor introduzidas pela lei de proteção de dados pessoais na União Europeia – GDPR.
Por fim, a Diretriz estabelece a imposição de penalidades àqueles que (i) dificultarem ou tentarem dificultar a denúncia, (ii) retaliarem o denunciante, (iii) perpretarem ações vexatórias contra o denunciante e (iv) violarem o dever de manter a confidencialidade da identidade do denunciante.
