Tempo de leitura: 10 min · Publicado em 08/08/2026
A área de recursos humanos é, na maioria das empresas, o setor que trata o maior volume de dados pessoais sensíveis — e quase sempre o menos preparado para isso. Currículos, documentos de identificação, dados bancários, informações de dependentes, exames ocupacionais, atestados, dados biométricos de ponto e registros disciplinares passam diariamente pelo departamento pessoal. A Lei Geral de Proteção de Dados exige base legal para cada tratamento, finalidade definida, minimização, prazo de retenção e segurança. E há um ponto que costuma surpreender: no contexto do emprego, o consentimento raramente é a base legal adequada, justamente porque a relação é assimétrica.
A regra: bases legais aplicáveis à relação de trabalho
A regra. A Lei nº 13.709/2018 admite o tratamento de dados pessoais apenas com fundamento em uma das hipóteses previstas no art. 7º, e o tratamento de dados sensíveis nas hipóteses mais restritas do art. 11.
Bases usuais no emprego. Cumprimento de obrigação legal ou regulatória pelo controlador, execução de contrato, exercício regular de direitos em processo, proteção da vida ou da incolumidade física e legítimo interesse do controlador, observados os limites legais.
Por que o consentimento é problemático. A lei exige que o consentimento seja livre, informado e inequívoco. Na relação de emprego, a subordinação compromete a liberdade da manifestação, o que torna essa base frágil e sujeita a questionamento. Ela deve ser reservada a tratamentos verdadeiramente opcionais, como participação em ações de comunicação interna ou uso de imagem em campanhas.
Mapa de tratamentos típicos do RH
| Tratamento | Base legal usual | Cuidado principal |
|---|---|---|
| Cadastro e folha de pagamento | Obrigação legal e execução de contrato | Minimizar dados coletados |
| Currículos de candidatos | Diligências pré-contratuais e legítimo interesse | Definir prazo de descarte |
| Exames ocupacionais | Obrigação legal, dado sensível | Acesso restrito ao serviço médico |
| Atestados e afastamentos | Obrigação legal, dado sensível | RH recebe apenas o necessário |
| Ponto biométrico | Obrigação legal, dado sensível | Avaliar alternativa menos invasiva |
| Câmeras de segurança | Legítimo interesse | Proibição em áreas de intimidade |
| Monitoramento de sistemas | Legítimo interesse | Transparência prévia e proporcionalidade |
| Canal de denúncias | Obrigação legal e legítimo interesse | Sigilo e acesso restrito |
| Dados de dependentes | Obrigação legal | Cuidado redobrado com menores |
Dados sensíveis: o ponto de maior exposição
Informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política e filiação sindical são dados sensíveis e recebem proteção reforçada. No cotidiano do RH, isso alcança situações muito comuns: laudos para cumprimento da cota de pessoas com deficiência, atestados médicos, resultados de exames ocupacionais, informações de plano de saúde e desconto de contribuição sindical.
Regra prática. O gestor não precisa saber o diagnóstico do empregado. Ele precisa saber se há restrição de atividade e por quanto tempo. Diagnóstico é informação clínica e deve permanecer com o serviço médico. Circular laudo em grupo de mensagens ou anexá-lo a e-mail com múltiplos destinatários é uma das falhas mais frequentes e mais graves.
Esse cuidado se conecta diretamente às cautelas descritas em conferência de atestados médicos, em que a verificação de autenticidade não autoriza o acesso ao conteúdo clínico.
Ciclo de vida do dado: coleta, uso, retenção e descarte
Coleta. Solicitar apenas o necessário. Pedir certidão de antecedentes, informações sobre filhos, estado civil detalhado ou dados de saúde sem necessidade concreta é coleta excessiva e viola o princípio da minimização.
Uso. Utilizar apenas para a finalidade informada. Dados coletados para folha não devem alimentar avaliações comportamentais; imagens de segurança não devem servir para controle de produtividade sem previsão e transparência.
Retenção. Definir prazos por tipo de documento, considerando os prazos legais de guarda e os prazos prescricionais aplicáveis. Currículos de candidatos não selecionados exigem política própria de descarte.
Descarte. Eliminar de forma segura ao fim do prazo, com registro. Manter arquivos antigos indefinidamente aumenta a superfície de risco sem qualquer benefício.
Processo seletivo e monitoramento
No recrutamento, perguntas sobre gravidez, planos familiares, orientação sexual, religião ou filiação sindical não têm respaldo e podem configurar prática discriminatória, além de tratamento indevido de dado sensível. Testes e avaliações devem ter finalidade compatível com o cargo, e os resultados precisam de prazo de guarda definido.
No monitoramento de recursos corporativos, a legitimidade depende de política prévia, comunicação clara, proporcionalidade e restrição ao ambiente de trabalho. Monitorar sem informar transforma uma medida de segurança em risco de indenização, como detalhado em regulamento interno.
Erros práticos frequentes
Usar consentimento como base legal padrão; manter currículos indefinidamente; conceder acesso amplo do RH a laudos médicos; adotar biometria sem avaliar alternativas; compartilhar dados com fornecedores sem contrato adequado; não definir prazos de retenção; enviar planilhas com dados pessoais por canais não corporativos; e não ter procedimento para atender requisições de titulares. Também é erro relevante tratar a adequação como projeto pontual, sem revisão periódica.
Perguntas frequentes
A empresa precisa do consentimento do empregado para tratar seus dados?
Na maioria dos casos, não. As bases legais mais adequadas são o cumprimento de obrigação legal, a execução do contrato e o legítimo interesse. O consentimento é frágil no contexto do emprego pela assimetria da relação.
O RH pode ter acesso ao diagnóstico médico do empregado?
Deve receber apenas a informação necessária à gestão, como aptidão e restrições. O diagnóstico é dado sensível e deve permanecer sob responsabilidade do serviço médico.
É permitido usar ponto biométrico?
É possível, mas envolve dado sensível e exige análise de necessidade, avaliação de alternativas menos invasivas, informação clara aos empregados e medidas robustas de segurança.
Por quanto tempo guardar currículos de candidatos?
A lei não fixa prazo único. É necessário definir política interna com prazo compatível com a finalidade e com eventual defesa em processos, promovendo o descarte seguro ao fim do período.
O que fazer em caso de vazamento de dados de empregados?
Acionar o plano de resposta a incidentes, avaliar risco aos titulares e observar os deveres de comunicação previstos na legislação, além de adotar medidas de contenção e correção documentadas.
Compartilhamento com terceiros: folha, benefícios e consultorias
Poucos setores compartilham tantos dados quanto o departamento pessoal. Escritórios de contabilidade, operadoras de plano de saúde, empresas de benefícios, clínicas de medicina ocupacional, sistemas de ponto em nuvem, plataformas de recrutamento e consultorias de folha recebem informações pessoais de forma rotineira. Cada um desses fornecedores atua, em regra, como operador, e a empresa permanece responsável pela escolha e pela supervisão.
Isso exige contratos que prevejam finalidade específica do tratamento, proibição de uso para outros fins, obrigações de segurança, dever de comunicar incidentes, regras de subcontratação e definição do que ocorre com os dados ao término do contrato. Também é recomendável manter inventário atualizado de quem recebe quais dados, porque essa é a primeira informação exigida quando ocorre um incidente.
Um cuidado adicional diz respeito a transferências internacionais, comuns quando o sistema de gestão de pessoas está hospedado no exterior ou quando a empresa integra grupo multinacional que centraliza informações. Essas transferências têm requisitos próprios na legislação e não devem ser tratadas como simples decisão de tecnologia da informação.
Direitos dos empregados como titulares de dados
Empregados e ex-empregados podem exercer os direitos previstos na lei: confirmação da existência de tratamento, acesso aos dados, correção de informações incompletas ou desatualizadas, anonimização ou eliminação de dados tratados em desconformidade, portabilidade nos casos previstos e informação sobre compartilhamentos realizados.
Na prática, o pedido mais comum vem de ex-empregados às vésperas de uma reclamação trabalhista, solicitando registros de ponto, holerites, fichas de entrega de equipamentos e histórico de advertências. A empresa deve ter um procedimento definido para atender essas solicitações, com prazo, responsável e formato de resposta. Negar acesso sem fundamento tende a produzir dois efeitos negativos simultâneos: exposição na esfera de proteção de dados e má impressão no processo trabalhista, onde a mesma documentação será exigida judicialmente.
Governança mínima para empresas de médio porte
Adequação não exige estrutura sofisticada. Um programa funcional em empresas de médio porte costuma se apoiar em cinco elementos. O primeiro é o inventário de tratamentos do departamento pessoal, listando quais dados são coletados, para quê, com que base legal, por quanto tempo e com quem são compartilhados. O segundo é a política interna de privacidade dirigida a empregados e candidatos, escrita em linguagem clara e efetivamente comunicada.
O terceiro é a definição de responsáveis e a indicação do encarregado, com canal de contato divulgado. O quarto é o controle de acesso: restringir por perfil quem consulta pastas funcionais, prontuários e documentos de desligamento, evitando o acesso indiscriminado que ainda é comum em pastas compartilhadas. O quinto é o treinamento periódico da equipe, com foco nas situações do dia a dia — envio de planilhas, atendimento a pedidos de gestores, tratamento de atestados e conversas sobre afastamentos.
Empresas que implantam esses cinco itens reduzem de forma expressiva a exposição, mesmo sem investimento elevado em tecnologia. A maior parte dos incidentes no ambiente de recursos humanos decorre de conduta cotidiana, e não de ataque externo sofisticado.
Fontes oficiais consultadas
Conteúdo informativo, elaborado com base na legislação e em fontes oficiais. Não substitui análise individualizada do caso.
