Investigação Interna Conduzida por Advogado: Sigilo Profissional, Provimento 188/2018 da OAB e os Limites da Prova

A resposta técnica é: as três coisas ao mesmo tempo, e essa tríplice natureza é o que torna o regime brasileiro mais rígido do que a intuição sugere.

Base constitucional

O ponto de partida não é o Estatuto da Advocacia — é a própria Constituição. O art. 133 da CF estabelece que o advogado é indispensável à administração da justiça, sendo inviolável por seus atos e manifestações no exercício da profissão, nos limites da lei. A jurisprudência recente do STF e do STJ ancora o sigilo profissional também nos incisos X (intimidade e vida privada), XII (sigilo das comunicações), LIV (devido processo legal) e LV (ampla defesa) do art. 5º da CF. Ou seja: quando um advogado guarda sigilo sobre o que aprendeu no exercício da profissão, ele não está apenas cumprindo uma regra corporativa — está operacionalizando uma garantia constitucional do cidadão à ampla defesa.

Base legal: Estatuto da Advocacia (Lei nº 8.906/1994)

• Art. 7º, II — inviolabilidade do escritório, dos instrumentos de trabalho e da correspondência (escrita, eletrônica, telefônica e telemática) relacionados ao exercício da advocacia.
• Art. 7º, XIX — direito de recusar-se a depor como testemunha em processo no qual funcionou, ou sobre fato relacionado a quem seja ou tenha sido seu cliente, mesmo que o próprio cliente autorize ou solicite que ele fale.
• Art. 7º, § 6º-I — dispositivo incluído pela Lei nº 14.365/2022, que veda expressamente ao advogado efetuar colaboração premiada contra quem seja ou tenha sido seu cliente. O descumprimento gera processo disciplinar — podendo culminar em exclusão dos quadros da OAB, nos termos do art. 35, III do Estatuto — sem prejuízo do crime de violação de segredo profissional (art. 154 do Código Penal).
• Art. 34, VII — classifica como infração disciplinar violar, sem justa causa, o sigilo profissional.

Base deontológica: Código de Ética e Disciplina da OAB

O Capítulo III do Código — “Do Sigilo Profissional” (Arts. 25 a 27) — detalha o regime:

• Art. 25 — o sigilo é inerente à profissão e deve ser respeitado, salvo grave ameaça ao direito à vida ou à honra, ou quando o próprio cliente afronta o advogado e este precisa se defender — sempre restrito ao interesse da causa.
• Art. 26 — o dever de sigilo persiste mesmo em depoimento judicial; o advogado pode recusar-se a depor sobre fatos conhecidos em razão do ofício, ainda que autorizado pelo cliente.
• Art. 27 — confidências do cliente só podem ser usadas nos limites estritos da necessidade de defesa, e com autorização expressa dele.

O ponto técnico que costuma escapar a quem não é da área: diferente do que ocorre em jurisdições de common law — onde o attorney-client privilege pode em regra ser renunciado (waived) pelo próprio cliente, titular do privilégio —, no Brasil o sigilo profissional é tratado como matéria de ordem pública. Isso significa que, em determinadas circunstâncias, nem mesmo o cliente pode liberar o advogado dessa obrigação — como deixa claro o art. 7º, XIX do Estatuto ao falar em recusa “mesmo quando autorizado ou solicitado pelo constituinte”. A confiança sistêmica na advocacia, e não apenas o interesse individual do cliente, é o bem jurídico protegido.

O Provimento 188/2018 foi redigido pensando na defesa criminal. Mas dois elementos do próprio texto abrem a porta, de forma expressa, para o ambiente corporativo:

1. O título da norma já menciona “procedimentos administrativos e judiciais” — não apenas criminais.
2. O art. 3º inclui, entre as finalidades legítimas, a proposta de acordo de leniência, instrumento central da Lei Anticorrupção (Lei nº 12.846/2013) para empresas que colaboram com a apuração de atos lesivos à administração pública.

Toda investigação interna processa dados pessoais — de denunciantes, investigados, testemunhas. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) exige que esse tratamento tenha uma base legal específica prevista no seu art. 7º. Duas hipóteses costumam sustentar a atividade investigativa conduzida por advogados:

• Art. 7º, VI — exercício regular de direitos em processo judicial, administrativo ou arbitral. É a base mais robusta para investigações que já mirem, ou possam mirar, um procedimento formal — administrativo (como um processo sob a Lei 12.846) ou judicial. Dispensa o consentimento do titular, justamente porque a coleta de prova para defesa de direitos não pode depender da anuência de quem está sendo investigado.
• Art. 7º, IX — legítimo interesse do controlador, combinado com o art. 10 da LGPD. É base mais frequente nas fases iniciais de apuração, antes de um procedimento formal estar caracterizado — mas exige análise caso a caso, já que a própria lei a trata como base subsidiária, a ser usada quando nenhuma outra hipótese for aplicável, e sempre balanceada contra os direitos e liberdades fundamentais do titular dos dados.

Na prática, isso significa que a empresa — tipicamente na posição de controladora dos dados tratados na investigação — precisa documentar: qual base legal está sendo usada, quais dados são estritamente necessários à finalidade da apuração (princípio da minimização), e por quanto tempo esses dados serão retidos após a conclusão do caso. Quando a investigação envolve compartilhamento de dados com escritórios externos ou consultorias especializadas, a formalização de um contrato de tratamento de dados (data processing agreement) entre empresa e prestador é prática recomendada para alocar responsabilidades e garantir medidas de segurança adequadas.

Três precedentes recentes do STJ ilustram, na prática, até onde vai — e onde para — a proteção do sigilo profissional:

O padrão que emerge é consistente: o Judiciário brasileiro, de forma reiterada, invalida colaborações e provas obtidas mediante quebra do sigilo profissional — mesmo quando o próprio advogado está sob investigação e busca reduzir sua pena. É esse padrão jurisprudencial, consolidado ao longo de vários anos, que agora chega ao STF para fixação de tese vinculante em repercussão geral.

1. Terceirização e a linha nebulosa do sigilo interno

Não há exigência legal de que a investigação seja conduzida por escritório externo. Mas há um motivo técnico forte para essa escolha: quando a apuração é feita por advogados contratados externamente, empresa e advogados preservam a prerrogativa de decidir se — e como — compartilhar o material produzido, mesmo diante de solicitação de autoridades. Já quando a investigação é conduzida inteiramente pelo departamento jurídico interno, a fronteira entre “opinião jurídica protegida por sigilo” e “consideração comercial ou de negócio” fica mais difícil de traçar — abrindo espaço para questionamentos sobre eventual quebra de confidencialidade que possam comprometer a integridade dos próprios achados.

2. Cadeia de custódia da prova digital

E-mails, mensagens e áudios coletados numa investigação interna precisam seguir protocolo de cadeia de custódia — o conjunto de procedimentos que documenta, de forma cronológica e rastreável, como cada elemento de prova foi coletado, manuseado e preservado (conceito formalizado no art. 158-A do Código de Processo Penal). Cortes superiores já reconheceram, em julgados analisados, que um simples print de conversa de WhatsApp é prova frágil por si só — não garante cópia fiel e íntegra do conteúdo original. A prática recomendada envolve certificação técnica por ata notarial ou por ferramentas de verificação forense especializadas.

3. Dispositivos corporativos x privacidade do colaborador

Computadores e celulares fornecidos pela empresa, em regra, podem ser acessados para fins de apuração — desde que essa possibilidade esteja prevista com clareza em política interna, com ciência prévia dos colaboradores. O ponto sensível surge quando, nesses dispositivos, aparecem conteúdos estritamente pessoais e protegidos por sigilo legal — e-mail pessoal, aplicativos de mensagem privados, dados bancários ou fiscais. Esses conteúdos não devem ser explorados sem autorização judicial específica, sob pena de contaminar toda a prova decorrente.

4. A entrevista investigativa

Investigados devem ser informados de que podem ser acompanhados por advogado de confiança, e suas declarações devem ser prestadas livremente, com respeito ao direito ao silêncio e contra a autoincriminação. Boas práticas recomendam presença de representante de RH como testemunha da regularidade do ato, ciência prévia sobre eventual gravação, e registro formal (termo assinado) de todo o conteúdo tratado.

Um material tecnicamente honesto não pode tratar o Provimento 188/2018 como blindagem absoluta. Duas críticas recorrentes merecem registro:

• O art. 4º, ao autorizar expressamente o uso de “detetives particulares”, é apontado por parte da doutrina como potencialmente incompatível com a Lei nº 13.432/2017, que restringe a atuação desses profissionais a coletas de natureza não criminal — o que gera discussão sobre até que ponto um provimento infralegal (norma da própria OAB, sem status de lei) pode ampliar essa competência.
• O art. 6º, ao dispensar o advogado do dever de informar autoridades sobre os fatos investigados, é lido por alguns autores como uma prerrogativa que carece de respaldo expresso em lei formal — ainda que compreensível à luz da lógica do sigilo profissional e hoje reforçada pelo próprio §6º-I do Estatuto.

Registrar essas controvérsias não enfraquece o material — fortalece: é o que separa uma investigação assessorada com rigor técnico de uma que se apoia em blindagem que pode não resistir a um questionamento judicial mais aprofundado.

O fio condutor de tudo isso é operacional, não apenas doutrinário: sigilo profissional e investigação defensiva exigem que a empresa consiga provar depois, não apenas alegar, que:

• o acesso às informações do caso foi restrito a quem realmente precisava dele;
• a cadeia de custódia de cada evidência foi preservada, com trilha de quem acessou o quê e quando;
• a comunicação com o investigado seguiu protocolo documentado;
• o resultado da apuração só circulou com autorização adequada.

• A investigação é conduzida (ou ao menos supervisionada) por advogado, para viabilizar a cobertura do sigilo profissional?
• Há avaliação sobre contratar escritório externo, dada a maior clareza do sigilo em relação ao departamento jurídico interno?
• A base legal de tratamento de dados pessoais (LGPD, art. 7º, VI ou IX) está identificada e documentada?
• Existe política interna clara, com ciência prévia dos colaboradores, sobre acesso a dispositivos corporativos?
• Há protocolo de cadeia de custódia para provas digitais (e-mails, mensagens, áudios)?
• As entrevistas investigativas seguem roteiro que informa direitos ao entrevistado e é documentado por escrito?
• O acesso às informações do caso é restrito e monitorado, com trilha de auditoria?
• Antes de qualquer divulgação de resultado, há verificação sobre a necessidade de autorização do cliente/empresa?