Introdução: o pior momento para se ser curioso
Há uma experiência espantosamente banal e raramente contada: a do trabalhador, do voluntário, do cliente ou do simples internauta que, no meio de uma operação corriqueira, tropeça em algo que não deveria ter visto.
Uma pasta partilhada mal configurada que contém os recibos de vencimento de todo o serviço. Um URL em que basta alterar o número no final para exibir o processo clínico do doente seguinte. Uma folha de cálculo enviada em anexo a cinquenta destinatários com, no separador número três, os contactos completos de três mil pessoas. Um software instalado nos postos de trabalho que regista muito mais do que a comunicação interna anunciara.
Nesse preciso instante, põe-se em marcha uma mecânica desagradável. Denunciar é expor-se. É explicar como se viu e, portanto, admitir por vezes uma curiosidade que pode ser usada contra si. É, numa estrutura pequena, ser identificável em três segundos. E a estatística é cruel: a Maison des lanceurs d'alerte e o Défenseur des droits documentam há anos que a maioria das pessoas que denunciam sofre uma degradação da sua situação profissional, mesmo quando o alerta tem fundamento.
Este guia não prega o heroísmo. Descreve um método: com quem falar, por que ordem, com que nível de exposição e que proteções jurídicas existem realmente no direito francês desde a lei de 21 de março de 2022.
Etapa 0: não fazer nada durante vinte e quatro horas
A pior decisão toma-se na hora seguinte à descoberta, sob o impulso da indignação. Uma mensagem enviada a partir do e-mail profissional, uma captura de ecrã publicada numa rede social, uma chamada para o jornalista local: cada uma destas reações fecha portas de forma definitiva.
O que pode fazer imediatamente, em contrapartida:
- Registar os factos por escrito, fora dos sistemas da organização em causa. Data, hora, o que viu, como lá chegou, sem jargão. Um caderno de papel continua a ser o suporte menos rastreável; um caderno de capa dura formato A5 cabe num bolso e não deixa qualquer registo.
- Não descarregar em massa. Exfiltrar uma base inteira «para ter provas» transforma-o juridicamente de denunciante em autor de uma extração fraudulenta. A jurisprudência francesa distingue claramente a consulta fortuita da aspiração organizada.
- Não testar mais a falha. Verificar uma vez que um identificador alterado mostra efetivamente outro registo é constatação. Fazê-lo cem vezes é acesso e permanência fraudulentos num sistema de tratamento automatizado de dados, artigo 323-1 do código penal.
- Não falar do assunto à sua volta. A fuga do seu alerta acontece quase sempre junto à máquina do café, nunca pelos metadados.
A regra de ouro: o seu valor está no que viu, não no que levou.
Mapear os destinatários possíveis
Não existe um «bom» interlocutor, mas sim uma hierarquia, do menos exposto ao mais exposto, e do mais eficaz ao mais incerto.
1. O próprio responsável pelo tratamento
É contraintuitivo, mas é muitas vezes o mais rápido. Uma falha de configuração corrige-se em poucas horas quando a equipa certa é avisada. Muitas organizações dispõem de um endereço dedicado do tipo security@ ou de um ficheiro security.txt publicado na raiz do seu site — uma convenção normalizada pela RFC 9116 precisamente para este caso.
Vantagem: a falha fecha-se. Inconveniente: está a dirigir-se a quem tem interesse em que nada se saiba.
2. O encarregado da proteção de dados (DPO)
Qualquer organização sujeita a esta obrigação designa um, e os seus contactos devem ser públicos. O DPO tem uma missão legal de independência e não pode ser sancionado pelo exercício das suas funções (artigo 38.º do RGPD). Numa estrutura séria, é o melhor ponto de entrada interno: conhece o procedimento de notificação à CNIL no prazo de 72 horas e sabe qualificar aquilo que descreve.
3. A CNIL
A autoridade francesa dispõe de um formulário de queixa em linha e aceita denúncias. Ponto importante, muitas vezes ignorado: a CNIL pode ser acionada sem que seja o próprio titular dos dados, e trata denúncias de terceiros. Publica todos os anos, no seu relatório de atividade, o volume de queixas recebidas, que ultrapassa largamente as catorze mil por ano desde há vários exercícios.
4. As outras autoridades setoriais
Consoante o contexto: a ANSSI e o seu dispositivo de comunicação para incidentes que afetem sistemas sensíveis, a inspeção do trabalho para a vigilância ilegal dos trabalhadores, a Autorité des marchés financiers, a ARCOM. O Défenseur des droits desempenha, além disso, um papel de orientação e proteção dos denunciantes desde a lei Waserman.
5. A sociedade civil e a imprensa
La Quadrature du Net, a Ligue des droits de l'Homme, os sindicatos e certas redações especializadas dispõem de canais de receção seguros. É a via mais eficaz em termos de impacto público, a mais arriscada em termos de exposição e aquela que, juridicamente, deve vir depois dos canais internos e das autoridades — salvo perigo grave e iminente.
O que a lei francesa protege realmente
O regime francês foi profundamente reformulado pela lei de 21 de março de 2022 (dita lei Waserman), que transpõe a diretiva europeia 2019/1937. O essencial, em linguagem clara:
| Elemento | O que diz o direito |
|---|---|
| Quem está protegido | Qualquer pessoa singular que denuncie, sem contrapartida financeira e de boa-fé, informações sobre um crime, um delito, uma ameaça ao interesse geral ou uma violação do direito da União |
| O desinteresse | A condição de «desinteresse» foi suprimida em 2022: basta agir sem contrapartida financeira direta |
| A ordem dos canais | A denúncia interna já não é obrigatória antes da denúncia externa. É possível recorrer diretamente à autoridade competente |
| A divulgação pública | Possível em caso de ausência de tratamento nos prazos, de risco de represálias ou de perigo grave e iminente |
| As represálias | Despedimento, sanção, discriminação, marginalização: nulos de pleno direito, com inversão do ónus da prova perante o juiz |
| A irresponsabilidade | O denunciante não é penalmente responsável pela subtração ou recetação de documentos a que teve acesso lícito |
Esta última linha merece uma segunda leitura. A proteção abrange os documentos obtidos legalmente no âmbito das suas funções. Não abrange a intrusão. É exatamente a fronteira descrita acima.
Acrescente-se uma noção raramente citada: o artigo 122-9 do código penal institui uma causa de irresponsabilidade penal para o denunciante que respeite os procedimentos. E o círculo próximo — colegas, familiares, sindicato — beneficia agora do estatuto de «facilitador», igualmente protegido.
Construir um canal de contacto que não o traia
Suponhamos que já escolheu o destinatário. Falta a questão prática: como escrever-lhe sem que o remetente seja você.
O que nunca se deve usar
- O equipamento do empregador. Posto de trabalho, telemóvel profissional, rede Wi-Fi da empresa, VPN de acesso remoto: tudo é registado, muitas vezes durante seis meses ou um ano, e esses registos são os primeiros a ser consultados em caso de inquérito interno.
- O seu endereço de e-mail pessoal habitual. Está ligado à sua identidade por uma dezena de cruzamentos.
- Uma conta criada cinco minutos antes do envio, a partir da sua ligação doméstica. O endereço IP de criação e a marcação temporal bastam.
- Um documento de escritório em bruto. Os ficheiros Word, PDF ou fotografias transportam metadados: nome de utilizador, nome da impressora, coordenadas GPS da captura, número de série do aparelho. Impõe-se uma limpeza sistemática antes de qualquer envio.
Os canais a privilegiar
O SMS anónimo. Para um primeiro contacto curto — «a vossa área de cliente expõe os ficheiros da pasta /exports, verifiquem com urgência» — um SMS enviado através de um gateway anónimo é extraordinariamente adequado: não há conta a criar, não há histórico de correio, e a mensagem chega com toda a certeza a um telemóvel profissional. Não serve para transferir documentos, mas é excelente para desencadear uma tomada de consciência e propor um canal de seguimento. A contrapartida a conhecer: o gateway conserva, por razões legais, registos técnicos. O anonimato é real perante o destinatário, não é absoluto perante uma requisição judicial.
O correio postal. Subestimado, quase perfeito. Uma carta impressa num ponto de impressão público, sem cabeçalho, colocada numa caixa de correio afastada da sua residência, não transporta qualquer metadado digital. O Défenseur des droits, a CNIL e a maioria das redações aceitam correio em papel.
As plataformas de depósito seguro. Vários meios de comunicação franceses operam uma instância SecureDrop ou equivalente, concebida para que a própria redação não conheça a fonte. A utilizar a partir de uma rede que não seja nem a sua casa nem o seu escritório.
Uma aplicação de mensagens cifrada num aparelho distinto. Se a troca se prolongar, um segundo telemóvel comprado em segunda mão e pago em numerário, associado a um cartão SIM pré-pago dedicado, cria uma separação nítida. É a lógica da compartimentação: um aparelho, um uso, nenhum contacto comum com a sua vida corrente. Um smartphone recondicionado de gama de entrada chega perfeitamente para este fim.
O pormenor que trai toda a gente
O estilo de escrita. Os inquéritos internos não procuram IPs, procuram maneirismos. Se apenas três pessoas conhecem o dossiê e a sua mensagem retoma o vocabulário exato de uma reunião, o anonimato técnico não serve de nada. Escreva de forma curta, factual, sem ironia e sem qualquer pormenor que só um círculo restrito pudesse conhecer. Releia perguntando a si próprio: «quantas pessoas poderiam ter escrito isto?»
O conteúdo da denúncia: o que a torna credível
Uma denúncia anónima parte com uma desvantagem: não é possível ligar-lhe de volta para confirmar. Tem, portanto, de ser autossuficiente.
Estrutura recomendada, no máximo em uma página:
- A organização visada, nomeada com precisão.
- Os factos, datados, descritos sem interpretação. «A 12 de agosto, o endereço [X] mostrava sem autenticação uma lista de 4 000 linhas com nome, morada e número de segurança social.»
- A natureza dos dados, indicando se se enquadram nas categorias especiais do artigo 9.º do RGPD (saúde, opiniões, orientação sexual, biometria) — o que altera radicalmente a gravidade.
- A prova mínima: uma captura recortada, anonimizada, suficiente para verificar sem divulgar mais.
- O que pede: correção, notificação aos titulares dos dados, inquérito.
- Um canal de recontacto, se aceitar um.
O que não se deve incluir: as suas hipóteses sobre os responsáveis, as suas queixas pessoais, a sua análise das motivações. Uma denúncia que se pareça com um ajuste de contas é arquivada.
Quando os titulares dos dados devem ser avisados
O RGPD impõe duas obrigações distintas ao responsável pelo tratamento, e é útil conhecê-las para avaliar a resposta que lhe é dada:
- Artigo 33.º: notificação à CNIL no prazo de 72 horas após ter tido conhecimento de uma violação, salvo se for pouco suscetível de gerar um risco.
- Artigo 34.º: informação dos próprios titulares dos dados, sem demora, quando a violação for suscetível de gerar um risco elevado para os seus direitos e liberdades.
Por outras palavras: se lhe responderem «já está corrigido, não vamos assustar as pessoas» quando circularam números de segurança social, a resposta não está conforme. É precisamente o tipo de elemento que justifica passar ao canal externo.
Para os titulares dos dados, a CNIL recorda os reflexos úteis: alterar as palavras-passe reutilizadas, vigiar as contas bancárias, desconfiar dos contactos que se seguem — o phishing dirigido explora sistematicamente as fugas recentes. Um gestor de palavras-passe permite identificar num relance as credenciais reutilizadas, e uma chave de segurança física compatível com FIDO2 neutraliza a maioria das apropriações de conta, mesmo com uma palavra-passe comprometida.
Três cenários, três estratégias
É trabalhador e a falha vem do seu empregador. Prioridade ao DPO, por escrito, e depois ao representante dos trabalhadores. Guarde em casa uma cópia datada da sua denúncia: constituirá a prova de anterioridade caso surjam represálias. Em caso de degradação da situação, recorra ao Défenseur des droits, que pode emitir um parecer e encaminhar para apoio financeiro.
É cliente ou utente e descobre a falha a partir do exterior. Comunique ao security@ ou ao DPO e, depois, à CNIL no prazo de quinze dias se nada acontecer. Aqui não existe qualquer vínculo de subordinação: o risco principal é uma queixa por acesso fraudulento, daí a importância absoluta de não ter «explorado».
Descobre um dispositivo de vigilância ilegal. Câmaras a filmar postos de trabalho, software de captura de ecrã não declarado, geolocalização de veículos fora do enquadramento legal. São temas em que a CNIL já sancionou várias vezes e em que a inspeção do trabalho e a comissão de trabalhadores são apoios poderosos. A documentação por fotografia é aqui legítima — está a documentar aquilo a que está sujeito.
Conclusão: o anonimato como condição da denúncia
Opõe-se frequentemente o anonimato à responsabilidade, como se ocultar a identidade equivalesse a fugir às consequências das próprias palavras. A denúncia de fugas de dados demonstra o contrário. Sem a possibilidade de falar sem se expor, uma parte considerável das falhas nunca seria corrigida e uma parte considerável dos tratamentos ilegais nunca seria interrompida.
Não é uma opinião militante: é o próprio raciocínio do legislador europeu, que construiu um regime de proteção porque constatou que o medo das represálias bloqueava a informação. As ferramentas de anonimato — gateway de SMS, depósito seguro, correio em papel, aparelho dedicado — são apenas a tradução técnica de um direito já reconhecido.
Resta a disciplina. Documentar sem exfiltrar, alertar sem explorar, escrever de forma curta e factual, escolher o destinatário certo antes do canal certo. A técnica protege a identidade; o método protege o alerta.
Para aprofundar: o site da CNIL (secção «violação de dados»), o guia do Défenseur des droits sobre a orientação e a proteção dos denunciantes, a Maison des lanceurs d'alerte e o texto da lei n.º 2022-401, de 21 de março de 2022, no Légifrance.
