A denúncia chegou à matriz. Quem investiga a operação brasileira?

Investigações internas, preservação de evidências e direitos individuais na coordenação jurídica Brasil–Estados Unidos

Série de estudos sobre cooperação jurídica Brasil–Estados Unidos
White paper jurídico | Referência: 4 de novembro de 2026

Uma denúncia recebida pela matriz americana pode exigir resposta rápida da subsidiária brasileira. Não autoriza, porém, acesso irrestrito a documentos, entrevistas coercitivas ou transferência integral do acervo ao exterior. A credibilidade da apuração depende tanto dos achados quanto da legitimidade dos métodos.

Considere uma hipótese: um executivo teria autorizado pagamentos a um intermediário sem comprovação dos serviços. Antes de entrevistá-lo, é preciso identificar quem determina a apuração, quais registros correm risco de eliminação e quais direitos estão envolvidos. O relato pode ser verdadeiro, incompleto ou equivocado; a falta de comprovação não demonstra necessariamente má-fé do denunciante. Investigar é testar hipóteses, inclusive alternativas favoráveis aos envolvidos.

1. Apuração empresarial, mandato e independência

A investigação interna pode combinar análise documental, entrevistas e relatório, orientando remediação e decisões empresariais (Lefosse, 2023, p. 21–25). Não equivale a inquérito policial nem confere poderes estatais de busca, apreensão ou coerção. O relatório não substitui o julgamento da responsabilidade penal, sujeito à autoridade competente e às garantias constitucionais (Brasil, 1988, art. 5º, LIII–LVII).

“Advogados do grupo” não identifica suficientemente o cliente. O mandato deve esclarecer a entidade representada, a autoridade que fornece instruções, o escopo, os destinatários e a forma de ampliar diligências. Um comitê supervisor precisa de poderes definidos; não se presume que constitua pessoa jurídica distinta. Representar a empresa não significa representar pessoalmente seus empregados.

Se a suspeita alcança quem normalmente daria instruções, recomenda-se rever o reporte. Contratar profissionais externos pode contribuir para autonomia, mas não garante independência. Relações anteriores, interferências e restrições relevantes devem ser avaliadas e registradas. No Brasil, independência profissional e conflitos têm disciplina própria; interesses opostos ou conflito não harmonizável podem exigir separação de mandatos, sem impor advogado distinto em todo caso (OAB, 2015, arts. 4º e 19–22; Brasil, 1994, art. 31).

2. Preservar não é vasculhar

Preservação, coleta, acesso, análise e compartilhamento são decisões diferentes. Pode ser necessário suspender a eliminação automática de registros delimitados antes de decidir quem examinará seu conteúdo. Isso não justifica retenção indiscriminada ou indefinida: finalidade, necessidade e fundamento devem acompanhar cada operação (Brasil, 2018, arts. 6º, 7º, 15–16).

Recomenda-se mapear custodiantes, sistemas, período relevante e riscos de perda. Mensagens autodeletáveis e dispositivos pessoais dificultam a preservação, como observa o Lefosse (2023, p. 23–24). A sequência depende do caso: preservar antes de entrevistar pode evitar perda; proteger pessoas expostas pode exigir providências simultâneas. Urgência demanda priorização fundamentada, não roteiro rígido.

Uma captura de tela pode iniciar uma diligência sem demonstrar autoria, completude ou contexto. Como método de confiabilidade, convém documentar origem, responsável, data, procedimento, transformações e acessos, preservando metadados quando pertinente. Esses cuidados não tornam lícita uma obtenção irregular. Autenticidade, licitude e suficiência contextual são questões distintas; falhas precisam ser avaliadas conforme seu impacto e o procedimento de utilização, sem invalidar automaticamente toda a apuração.

3. LGPD e limites de acesso

Uma apuração corporativa não fica fora da LGPD simplesmente por examinar possível crime. A exceção relativa à investigação e repressão penal possui regime próprio e limitações à atuação privada; não é licença geral para compliance empresarial (Brasil, 2018, art. 4º, III e §§ 1º–4º).

As bases legais dependem da finalidade e da natureza dos dados. Cumprimento de obrigação legal ou regulatória exige obrigação identificável; política interna não equivale a lei. Exercício regular de direitos deve corresponder à hipótese aplicável. Legítimo interesse exige necessidade, consideração das expectativas e ponderação com direitos fundamentais; não é base para dados sensíveis, que seguem o art. 11 (Brasil, 2018, arts. 7º, 10–11; Lefosse, 2023, p. 21–22). A dispensa de consentimento não dispensa transparência, segurança e direitos dos titulares.

A propriedade empresarial do equipamento não resolve a licitude de todo acesso. O Lefosse recomenda informação prévia sobre monitoramento, ausência de excessos e segregação entre ambientes profissionais e pessoais no uso de dispositivos particulares (Lefosse, 2023, p. 22–24). São orientações profissionais, não autorização judicial nem demonstração de jurisprudência uniforme.

Contas corporativas, conteúdo pessoal em aparelho empresarial e contas privadas exigem avaliações distintas. Uma política não autoriza vasculhar toda a vida do empregado, mas a privacidade também não torna toda comunicação profissional inacessível. A solução exige pertinência, proporcionalidade e via juridicamente admissível, considerando intimidade e sigilo das comunicações (Brasil, 1988, art. 5º, X e XII).

Os direitos de acesso, correção e informação sobre compartilhamento continuam relevantes. A confidencialidade da apuração não cria exceção geral à LGPD. Pedidos devem receber tratamento fundamentado, considerando dados de terceiros e sigilos legalmente protegidos, sem prometer entrega automática de todo o dossiê ou negar genericamente direitos (Brasil, 2018, arts. 18–19).

4. Entrevistas e defesa individual

Antes da entrevista, recomenda-se explicar quem o advogado representa, a finalidade, o modo de registro, os possíveis destinatários e os limites de confidencialidade. Não se deve prometer representação pessoal, imunidade ou sigilo absoluto que não possa ser assegurado.

Os chamados Upjohn warnings são prática de esclarecimento da representação corporativa, não roteiro universal estabelecido pelo precedente. No Brasil, requerem adaptação jurídica e linguística. Um aviso não deve funcionar como renúncia geral à defesa, autorização irrestrita de transferência ou solução antecipada de conflitos (Upjohn, 1981; DLA Piper, 2019).

Pedidos de assistência por advogado próprio e riscos de autoincriminação exigem avaliação específica. O inciso LXIII do art. 5º refere-se expressamente ao preso (Brasil, 1988); não se transplanta automaticamente a disciplina do interrogatório estatal à entrevista privada. Essa distinção, contudo, não autoriza intimidação nem esvaziamento das garantias individuais. Deveres funcionais e eventuais consequências precisam de fundamento próprio, não de presunção de culpa pela recusa. Como método, perguntas devem permitir esclarecimentos e examinar elementos favoráveis ao entrevistado.

5. Sigilo não protege automaticamente o acervo

O guia DLA Piper distingue confidencialidade ética, attorney-client privilege e work-product protection; sua atualização indicada é de 2019, não uma certificação do direito americano atual em qualquer foro (DLA Piper, 2019).

Em Upjohn, a Suprema Corte reconheceu proteção para determinadas comunicações confidenciais de empregados destinadas ao aconselhamento jurídico da companhia. A proteção alcança comunicações qualificadas, não os fatos subjacentes; a decisão não tornou toda investigação protegida (Upjohn, 1981, p. 394–401). Documentos empresariais preexistentes não adquirem proteção apenas por serem enviados ao advogado. Preparação para litígio exige análise própria, distinta da simples atividade operacional.

No Brasil, o sigilo profissional tem fundamento próprio, incluindo dever ético e direito de recusar depoimento sobre fatos protegidos, mesmo quando autorizado pelo constituinte (OAB, 2015, arts. 35–38; Brasil, 1994, art. 7º, XIX). Não se presume equivalência universal com as categorias americanas. Compartilhar análises exige avaliar destinatários, finalidade e possíveis efeitos probatórios.

6. Compartilhamento internacional: a atualização necessária

A cartilha de 2023 antecede a Resolução CD/ANPD nº 19/2024; sua observação sobre falta de regulamentação não descreve o cenário atual. Hoje, a operação exige cumulativamente base legal dos arts. 7º ou 11 e mecanismo válido de transferência. Disponibilizar acesso ao importador também integra o conceito de transferência; manter arquivos no Brasil não evita necessariamente essa análise (ANPD, 2024, Anexo I, arts. 3º–9º).

Quando utilizadas, as cláusulas-padrão brasileiras devem ser incorporadas integralmente, sem alteração do texto obrigatório, observada a retificação de 2025. O prazo transitório de doze meses já terminou. Há deveres específicos de transparência, inclusive informação em português e disponibilização das cláusulas mediante solicitação. Cláusulas específicas e normas corporativas globais dependem de aprovação da ANPD (ANPD, 2024, arts. 16–17, 24 e 28; ANPD, 2025).

Isso não significa exigir cláusulas-padrão em toda transferência: outras hipóteses do art. 33 permanecem disponíveis quando seus requisitos forem demonstrados, inclusive o inciso IX, se efetivamente necessário às hipóteses legais que menciona. A cooperação entre empresa e matriz não se confunde com cooperação internacional entre órgãos públicos do inciso III (Brasil, 2018, art. 33).

O catálogo oficial consultado em 04/11/2026 não registra adequação para os Estados Unidos. Não se presume adequação, suficiência de cláusula genérica nem livre circulação intragrupo (ANPD, 2026). A matriz deve receber o necessário, não automaticamente todo o acervo bruto.

7. Relatório, comunicação e coordenação

O relatório deve separar alegações, elementos examinados, achados sustentados, inferências, pontos inconclusivos, limitações e avaliação jurídica. Falta de comprovação não equivale necessariamente à inexistência do fato; falha de controle não demonstra, isoladamente, dolo individual.

Comunicação obrigatória e divulgação voluntária exigem decisões distintas, considerando autoridade, prazo, fundamento e efeitos nas duas jurisdições. Não se presume benefício de cooperação, arquivamento ou vinculação de outras autoridades. Remediação e responsabilização individual também têm fundamentos próprios.

Recomenda-se mandato comum compreensível, acesso delimitado, registro de divergências e revisão coordenada das comunicações externas. Advogados brasileiros avaliam limites locais; advogados americanos examinam as questões de sua jurisdição. A coordenação não apaga diferenças nem restringe indevidamente a defesa. A melhor apuração permite decidir com fundamento e reconhecer limites, não apenas confirmar rapidamente uma suspeita.

Conteúdo informativo, sem aconselhamento jurídico individualizado, promessa de resultado ou declaração de parceria, vínculo ou endosso das instituições mencionadas. As propostas organizacionais dependem do caso concreto.

References

1. LEFOSSE. Práticas de compliance sob a perspectiva de privacidade e proteção de dados. 2023, especialmente p. 21–25 e 34. Cartilha original.
2. DLA PIPER. Legal professional privilege: United States — Scope. Última modificação indicada: 15 mar. 2019. Guia original.
3. BRASIL. Constituição da República Federativa do Brasil de 1988, art. 5º. Texto oficial.
4. BRASIL. Lei nº 13.709, de 14 de agosto de 2018 — LGPD, texto com alterações. Texto oficial.
5. OAB. Código de Ética e Disciplina, Resolução nº 02/2015, arts. 4º, 19–22 e 35–38. Publicação institucional.
6. BRASIL. Lei nº 8.906, de 4 de julho de 1994 — Estatuto da Advocacia e da OAB, arts. 7º, XIX, e 31. Texto oficial.
7. ESTADOS UNIDOS. Suprema Corte. Upjohn Co. v. United States, 449 U.S. 383, 1981. Publicação oficial nos United States Reports, Library of Congress.
8. ANPD. Resolução CD/ANPD nº 19, de 23 de agosto de 2024, Regulamento de Transferência Internacional de Dados e cláusulas-padrão. Publicação no DOU; texto institucional com indicação da retificação.
9. ANPD. Retificação do Anexo II da Resolução nº 19/2024. DOU, 18 ago. 2025. Publicação oficial.
10. ANPD. Transferência internacional de dados — mecanismos e repositório. Consultado em 4 nov. 2026. Página institucional._