Privacidade no setor de Recursos Humanos

Introdução

Quando se fala em conformidade com a Lei Geral de Proteção de Dados (LGPD), é comum que a atenção das organizações esteja inicialmente direcionada aos dados de clientes, consumidores, leads e usuários de produtos ou serviços. Entretanto, alguns dos fluxos mais intensos, contínuos e sensíveis de tratamento de dados pessoais acontecem dentro da própria estrutura organizacional, especialmente no setor de Recursos Humanos.

A relação entre uma pessoa e o RH pode começar antes mesmo da existência de qualquer vínculo empregatício. Durante um processo seletivo, a organização já pode ter acesso a nome, telefone, e-mail, formação acadêmica, histórico profissional, pretensão salarial e outras informações fornecidas pelo candidato. Com a contratação, esse conjunto se amplia consideravelmente e pode incluir CPF, endereço, dados bancários, informações sobre dependentes, remuneração, benefícios, registros de jornada, avaliações de desempenho, imagens, registros de acesso, biometria e, em determinadas situações, dados pessoais sensíveis relacionados à saúde.

Ao longo da relação de trabalho, essas informações não permanecem necessariamente concentradas no RH. Elas podem circular entre gestores e diferentes áreas internas, integrar sistemas corporativos e ser compartilhadas com empresas responsáveis por folha de pagamento, benefícios, recrutamento, medicina ocupacional, seguros, serviços em nuvem e outras atividades necessárias à gestão de pessoas. Forma-se, assim, um ecossistema de tratamento de dados que pode envolver diferentes sistemas, profissionais, fornecedores e finalidades.

O desafio, portanto, não está simplesmente na quantidade de informações tratadas. Grande parte desses dados é necessária para administrar a relação de trabalho, executar atividades relacionadas ao vínculo e cumprir obrigações legais ou regulatórias. A questão central está em saber se a organização consegue identificar e justificar cada tratamento realizado, evitando que práticas incorporadas à rotina do RH continuem sendo executadas apenas porque “sempre foram feitas dessa forma”.

Nesse contexto, algumas perguntas tornam-se fundamentais: por que determinado dado é coletado? Qual finalidade justifica seu tratamento? Qual base legal é aplicável? A quantidade de informações solicitadas é realmente necessária? Quem possui acesso? Com quais terceiros os dados são compartilhados? Por quanto tempo devem permanecer armazenados? E o que acontece com essas informações quando sua finalidade se encerra?

Essas questões ganharam ainda mais relevância com a transformação digital dos processos de gestão de pessoas. Plataformas de recrutamento, sistemas de gestão de desempenho, inteligência artificial aplicada à triagem e classificação de candidatos, ferramentas de monitoramento de produtividade, videomonitoramento, biometria e outras tecnologias ampliaram significativamente a capacidade das organizações de coletar, cruzar, analisar e utilizar dados sobre candidatos e trabalhadores.

A tecnologia também modificou a natureza de alguns riscos. Uma ferramenta de inteligência artificial pode influenciar quais candidatos avançam em um processo seletivo; um sistema de monitoramento pode produzir registros detalhados sobre a rotina de um trabalhador; uma câmera pode deixar de realizar apenas a gravação convencional e incorporar recursos de análise ou reconhecimento; e uma plataforma contratada pelo RH pode fazer com que informações pessoais sejam processadas por uma cadeia de fornecedores ou até armazenadas fora do Brasil.

Nesse cenário, a conformidade com a LGPD não pode ser tratada como uma atividade exclusivamente documental. Inserir cláusulas de proteção de dados nos contratos de trabalho, coletar consentimentos ou elaborar políticas internas não é suficiente quando a organização desconhece como os dados efetivamente circulam em seus processos. A governança precisa alcançar a prática cotidiana do RH e acompanhar todo o ciclo de vida das informações.

Isso significa olhar para a proteção de dados desde o primeiro currículo recebido até os registros que permanecem armazenados após o desligamento, passando pela definição das bases legais, tratamento de dados sensíveis, controles de acesso, utilização de inteligência artificial, monitoramento de colaboradores, videomonitoramento, compartilhamento com fornecedores, segurança da informação, retenção e descarte.

É a partir dessa perspectiva que este artigo analisa os principais pontos de atenção para a proteção de dados no RH, demonstrando como práticas aparentemente rotineiras podem gerar riscos quando não estão acompanhadas de finalidade definida, fundamento jurídico adequado, transparência, controles e uma governança capaz de demonstrar conformidade com a LGPD.

Consentimento do colaborador: cuidado com a solução aparentemente mais simples

A definição da base legal constitui uma das etapas centrais para a conformidade das operações de tratamento de dados pessoais realizadas pelo setor de Recursos Humanos. Nesse contexto, um equívoco recorrente é considerar o consentimento do colaborador como uma autorização genérica capaz de legitimar toda e qualquer utilização de seus dados pela organização. A Lei Geral de Proteção de Dados (LGPD), entretanto, estabelece diferentes hipóteses legais para o tratamento de dados pessoais, que devem ser analisadas de acordo com a finalidade, a natureza dos dados e as características concretas de cada operação.

Nos termos da LGPD, o consentimento deve decorrer de uma manifestação livre, informada e inequívoca, por meio da qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. A própria legislação afasta autorizações genéricas e assegura ao titular a possibilidade de revogar o consentimento, características que exigem cautela quando essa base legal é utilizada no contexto das relações de trabalho.

Isso porque a relação entre empregador e empregado apresenta uma assimetria que pode afetar a liberdade da manifestação de vontade. Em determinadas situações, o trabalhador pode compreender que a recusa ao tratamento poderá produzir consequências profissionais, ainda que essa consequência não tenha sido expressamente indicada pela organização. Assim, a simples assinatura de um termo de consentimento não é suficiente, por si só, para demonstrar que essa manifestação ocorreu de maneira efetivamente livre.

Essa análise se torna ainda mais relevante quando o tratamento é necessário para a própria administração da relação de trabalho. Informações utilizadas para processamento da folha de pagamento, recolhimento de encargos, controle de jornada, concessão de determinados benefícios ou atendimento de obrigações trabalhistas e previdenciárias, por exemplo, podem encontrar fundamento em outras hipóteses previstas na LGPD. Dependendo da finalidade e das circunstâncias concretas, podem ser aplicáveis bases como o cumprimento de obrigação legal ou regulatória, a execução de contrato ou de procedimentos preliminares relacionados a contrato e o exercício regular de direitos.

O legítimo interesse também pode ser considerado em determinadas operações envolvendo dados pessoais não sensíveis, mas sua utilização não deve ocorrer de maneira automática. A organização precisa avaliar a existência de uma finalidade legítima, a necessidade do tratamento, os impactos sobre os direitos e as legítimas expectativas do titular, além da adoção de medidas de transparência e salvaguardas adequadas. Em outras palavras, o legítimo interesse também exige uma análise contextual e documentada.

Quando a operação envolve dados pessoais sensíveis, como informações relacionadas à saúde ou dados biométricos vinculados a uma pessoa natural, a avaliação deve observar especificamente as hipóteses previstas no artigo 11 da LGPD. Nesses casos, não se deve simplesmente reproduzir a base legal utilizada para dados pessoais comuns, pois a legislação estabelece regime jurídico específico para essa categoria de informações em razão dos maiores riscos associados ao seu tratamento.

Sob a perspectiva da governança, portanto, o RH deve evitar a adoção de uma única base legal para todos os seus processos. Um mesmo colaborador pode ter seus dados tratados simultaneamente para diferentes finalidades e sob diferentes fundamentos jurídicos. A folha de pagamento, o controle de acesso às instalações, a gestão de benefícios, uma campanha interna facultativa e o armazenamento de determinadas informações após o desligamento, por exemplo, representam operações distintas e devem ser avaliadas individualmente.

A escolha inadequada da base legal também pode produzir problemas durante todo o ciclo de vida do dado. Se uma operação necessária à relação de trabalho for fundamentada exclusivamente no consentimento, por exemplo, a organização precisará considerar as consequências jurídicas e operacionais de uma eventual revogação. Esse cenário demonstra por que a definição da hipótese legal deve refletir a real finalidade e necessidade do tratamento, e não ser utilizada apenas como mecanismo documental de autorização.

Dessa forma, a conformidade do RH com a LGPD não deve partir da pergunta “temos o consentimento do colaborador?”, mas de uma análise mais ampla: qual é a finalidade deste tratamento, quais dados são efetivamente necessários e qual hipótese legal melhor corresponde à operação realizada?

Essa mudança de perspectiva é fundamental para transformar a adequação à LGPD de uma prática meramente documental em um processo efetivo de governança e responsabilização sobre o uso de dados pessoais no ambiente de trabalho.

Recrutamento e seleção: a proteção de dados começa antes da contratação

A aplicação da LGPD nas relações de trabalho começa antes mesmo da formalização do vínculo empregatício. Durante os processos de recrutamento e seleção, as organizações já realizam diversas operações de tratamento de dados pessoais, envolvendo informações fornecidas diretamente pelos candidatos ou obtidas por meio de plataformas, testes, entrevistas e outros recursos utilizados para avaliar perfis profissionais.

Currículos podem conter nome, telefone, e-mail, endereço, fotografia, histórico profissional, formação acadêmica, qualificações e outras informações capazes de identificar ou tornar identificável uma pessoa. Em processos seletivos mais estruturados, esse conjunto pode ser ampliado por testes comportamentais, avaliações técnicas, entrevistas gravadas, referências profissionais e ferramentas de análise de perfil.

Nesse contexto, a organização deve observar especialmente os princípios da finalidade, adequação e necessidade, previstos no artigo 6º da LGPD. Isso significa que os dados coletados devem estar diretamente relacionados aos objetivos do processo seletivo e ser limitados ao mínimo necessário para a avaliação do candidato.

A coleta excessiva merece atenção especial. Informações que somente seriam necessárias em uma etapa posterior, como após a aprovação ou durante a admissão, não devem ser solicitadas antecipadamente sem uma justificativa concreta. Quanto maior o volume de dados coletados, maior também será a responsabilidade da organização sobre sua proteção, armazenamento e eventual descarte.

Outro ponto relevante diz respeito à manutenção de currículos após o encerramento do processo seletivo. O fato de um candidato ter encaminhado seus dados para concorrer a uma vaga específica não significa que essas informações possam ser armazenadas indefinidamente ou reutilizadas para qualquer finalidade futura. Caso a empresa mantenha um banco de talentos, é necessário definir com clareza a finalidade dessa conservação, estabelecer critérios de retenção e garantir transparência ao titular.

A definição da base legal também deve ser realizada de acordo com a finalidade do tratamento. Em determinadas situações, a utilização dos dados poderá estar relacionada à realização de procedimentos preliminares vinculados a uma possível contratação, conforme previsto no artigo 7º, inciso V, da LGPD. Em outras hipóteses, entretanto, pode ser necessário avaliar fundamento jurídico distinto, especialmente quando o tratamento extrapola aquilo que seria estritamente necessário para o processo seletivo.

A atenção deve ser ainda maior quando houver tratamento de dados pessoais sensíveis, como informações relacionadas à saúde, deficiência, origem racial ou étnica, religião ou biometria. Nesses casos, além de avaliar a real necessidade da coleta, a organização deve observar as hipóteses específicas previstas no artigo 11 da LGPD.

Assim, a proteção de dados no recrutamento deve ser estruturada desde o primeiro contato com o candidato. Mais do que simplesmente receber currículos, a empresa precisa compreender quais informações coleta, porque as coleta, por quanto tempo pretende mantê-las e quem terá acesso a esses dados. Essa análise é essencial para reduzir riscos e garantir que o processo seletivo esteja alinhado aos princípios de proteção de dados desde sua origem.

Inteligência artificial na seleção de candidatos: quando o algoritmo participa da contratação

A incorporação da inteligência artificial aos processos de recrutamento e seleção tem modificado a forma como as organizações analisam candidatos e tomam decisões relacionadas à contratação. Ferramentas baseadas em algoritmos podem auxiliar na triagem de grandes volumes de currículos, identificar competências, atribuir pontuações, comparar perfis profissionais e recomendar candidatos com base em critérios previamente estabelecidos.

Embora essas soluções possam proporcionar maior agilidade e eficiência ao RH, sua utilização também amplia os desafios relacionados à privacidade, proteção de dados, transparência e governança. Isso ocorre porque uma decisão aparentemente simples, como classificar determinado currículo como mais ou menos aderente a uma vaga, pode resultar do processamento de diferentes informações pessoais e influenciar diretamente as oportunidades profissionais do candidato.

Sob a perspectiva da LGPD, a utilização de IA não altera a necessidade de definir uma finalidade específica e uma base legal adequada para o tratamento. Também permanecem aplicáveis princípios como necessidade, adequação, transparência, segurança, prevenção e não discriminação, previstos no artigo 6º da Lei. A adoção de uma ferramenta tecnologicamente sofisticada, portanto, não reduz as responsabilidades relacionadas ao tratamento de dados pessoais.

Um dos principais cuidados está relacionado aos dados utilizados pelo sistema para realizar suas análises. A organização deve compreender quais informações são efetivamente consideradas pelo algoritmo e avaliar se todas elas são necessárias e pertinentes à finalidade do processo seletivo. A utilização indiscriminada de informações disponíveis em currículos, perfis profissionais ou outras fontes pode levar à criação de análises excessivas e pouco transparentes sobre os candidatos.

Outro aspecto relevante está na capacidade de compreender os fatores que influenciam os resultados produzidos pela ferramenta. Sistemas que atribuem pontuações ou classificam candidatos podem utilizar múltiplas variáveis para chegar a determinada recomendação. Quanto maior a influência dessa análise sobre a decisão de contratação, maior deve ser a preocupação da organização em estabelecer mecanismos de supervisão, documentação e avaliação dos critérios utilizados.

A LGPD também dedica atenção específica às decisões automatizadas. O artigo 20 assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo aquelas destinadas a definir aspectos de seu perfil profissional. A legislação também prevê, observados os segredos comercial e industrial, o fornecimento de informações claras e adequadas sobre os critérios e procedimentos utilizados para a decisão automatizada.

Esse aspecto ganha especial relevância nos processos seletivos. Quando uma ferramenta elimina automaticamente um candidato ou determina sua classificação sem participação humana efetiva, a organização deve avaliar não apenas a eficiência operacional do sistema, mas também as consequências que essa decisão pode produzir para o titular dos dados.

Além disso, a utilização de IA pode potencializar riscos de discriminação algorítmica. Modelos desenvolvidos ou treinados a partir de dados históricos podem reproduzir correlações e padrões existentes nas informações utilizadas, inclusive aqueles capazes de gerar resultados desfavoráveis para determinados grupos. Por essa razão, a avaliação da ferramenta não deve se limitar à sua precisão ou capacidade de encontrar candidatos considerados adequados, mas deve considerar também a qualidade dos dados, os critérios utilizados e os possíveis impactos discriminatórios decorrentes de sua aplicação.

A contratação de uma plataforma externa tampouco elimina essa responsabilidade. Antes de incorporar ferramentas de IA ao recrutamento, a organização deve avaliar como o fornecedor trata os dados dos candidatos, quais informações são utilizadas para alimentar ou aperfeiçoar os sistemas, se existem outros terceiros envolvidos, quais medidas de segurança são adotadas e o que ocorre com os dados após o encerramento do processo seletivo.

Nesse cenário, a governança sobre inteligência artificial deve integrar a própria governança de proteção de dados do RH. A organização precisa conhecer a tecnologia que utiliza em nível suficiente para identificar seus riscos, estabelecer controles, documentar decisões e assegurar que sua utilização permaneça compatível com os direitos dos titulares.

Automatizar etapas do recrutamento não significa automatizar a responsabilidade. Ainda que a análise seja realizada por um algoritmo desenvolvido por terceiro, cabe à organização compreender de que maneira essa tecnologia interfere no tratamento dos dados pessoais e nas decisões que afetam os candidatos.

Inteligência artificial na seleção de candidatos: quando o algoritmo participa da contratação

Dados de saúde: nem toda informação precisa chegar ao RH

Entre as informações tratadas no contexto das relações de trabalho, os dados relacionados à saúde exigem atenção especial. Atestados médicos, exames ocupacionais, afastamentos, acidentes de trabalho, informações relacionadas à deficiência e outros registros dessa natureza podem fazer parte da rotina das organizações e, em determinadas circunstâncias, precisam ser tratados para o cumprimento de obrigações trabalhistas, previdenciárias, de saúde e segurança do trabalho.

A LGPD classifica os dados referentes à saúde como dados pessoais sensíveis, nos termos do artigo 5º, inciso II. Essa classificação decorre do potencial de essas informações produzirem impactos mais significativos sobre os direitos e as liberdades dos titulares, inclusive situações de discriminação ou exposição indevida. Por essa razão, seu tratamento está sujeito a um regime jurídico específico e demanda controles proporcionais aos riscos envolvidos.

Nesse contexto, a primeira questão que deve ser considerada pelo RH não é simplesmente se a empresa pode ter acesso a determinada informação, mas se realmente precisa conhecê-la e em qual nível de detalhamento. O princípio da necessidade, previsto no artigo 6º da LGPD, determina que o tratamento seja limitado ao mínimo necessário para a realização de suas finalidades, abrangendo apenas dados pertinentes, proporcionais e não excessivos.

Na prática, isso significa que a existência de uma informação médica não justifica sua circulação irrestrita dentro da organização. Dependendo da situação, o RH pode precisar conhecer a existência e o período de determinado afastamento para realizar procedimentos administrativos, sem necessariamente precisar ter acesso a informações clínicas mais detalhadas que não sejam necessárias para aquela finalidade.

A mesma lógica deve orientar a definição dos perfis de acesso. Informações relacionadas à saúde não devem permanecer disponíveis indistintamente para gestores, lideranças ou demais profissionais simplesmente porque participam da administração do vínculo de trabalho. A organização deve identificar quem efetivamente necessita acessar cada categoria de informação e implementar mecanismos capazes de restringir consultas, alterações, compartilhamentos e extrações indevidas.

Além da limitação de acesso, devem ser consideradas medidas técnicas e administrativas adequadas à sensibilidade dessas informações, como segregação de documentos e sistemas, definição de permissões, rastreabilidade de acessos, procedimentos seguros de armazenamento e compartilhamento e critérios específicos de retenção e descarte. O artigo 46 da LGPD determina que os agentes de tratamento adotem medidas de segurança aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.

A definição da base legal também requer uma análise distinta daquela realizada para dados pessoais comuns. Por se tratar de dados pessoais sensíveis, o tratamento deve estar fundamentado em uma das hipóteses previstas no artigo 11 da LGPD. No ambiente laboral, determinadas operações podem encontrar fundamento, conforme o caso concreto, no cumprimento de obrigação legal ou regulatória, no exercício regular de direitos ou em outras hipóteses especificamente previstas pela legislação.

Por isso, recorrer ao consentimento do colaborador de maneira genérica para justificar o tratamento de informações de saúde pode ser inadequado quando a própria operação decorre de uma obrigação que a organização precisa cumprir independentemente da vontade do trabalhador. A base legal deve corresponder à finalidade concreta do tratamento, e não funcionar apenas como uma autorização documental.

Outro ponto relevante está no compartilhamento desses dados com terceiros. Clínicas de medicina ocupacional, operadoras de planos de saúde, seguradoras, prestadores especializados e outros fornecedores podem participar de diferentes fluxos relacionados à saúde dos trabalhadores. Nesses casos, a organização deve compreender quais informações são efetivamente compartilhadas, para qual finalidade, quais agentes participam do tratamento e quais medidas são adotadas para preservar a confidencialidade e a segurança dos dados.

Também é importante evitar a utilização posterior dessas informações para finalidades incompatíveis com aquelas que justificaram sua coleta. Dados obtidos em razão de obrigações relacionadas à saúde ocupacional, por exemplo, não devem ser automaticamente incorporados a avaliações de desempenho ou utilizados para estabelecer diferenciações entre trabalhadores sem que exista fundamento jurídico e finalidade legítima para tanto. Além de contrariar princípios da LGPD, determinadas utilizações podem ampliar significativamente os riscos de práticas discriminatórias.

Assim, uma governança adequada sobre dados de saúde exige que o RH adote uma lógica de acesso baseado na necessidade de conhecimento: cada área e profissional deve ter acesso somente às informações efetivamente necessárias para desempenhar suas atribuições.

A pergunta central, portanto, não deve ser “a empresa possui essa informação?”, mas “quem realmente precisa conhecê-la, para qual finalidade e durante quanto tempo?”. Quando se trata de dados de saúde, limitar a circulação da informação não é apenas uma medida de segurança: é parte essencial da aplicação dos princípios de proteção de dados no ambiente de trabalho.

Monitoramento de colaboradores: até onde a empresa pode acompanhar?

A transformação digital das relações de trabalho ampliou significativamente a capacidade das organizações de acompanhar atividades realizadas por seus colaboradores. Registros de acesso a sistemas, utilização de dispositivos corporativos, e-mails profissionais, histórico de navegação, geolocalização, logs de aplicações e ferramentas destinadas à mensuração de produtividade passaram a integrar a realidade de muitas empresas, especialmente em ambientes de trabalho cada vez mais digitalizados, híbridos ou remotos.

O monitoramento, por si só, não é necessariamente incompatível com a proteção de dados pessoais. Existem finalidades legítimas que podem justificar determinados controles, como a proteção dos ativos corporativos, prevenção de incidentes de segurança, controle de acesso a sistemas, prevenção de fraudes, proteção de informações confidenciais e cumprimento de determinadas obrigações legais ou regulatórias. O ponto central está em compreender até onde esse acompanhamento precisa ir para alcançar a finalidade pretendida.

Nesse sentido, o fato de um computador, telefone ou conta de e-mail pertencer à organização não significa que qualquer modalidade de monitoramento possa ser implementada de maneira irrestrita. Quando os mecanismos utilizados permitem identificar o trabalhador, acompanhar seu comportamento ou construir registros sobre suas atividades, existe tratamento de dados pessoais e, consequentemente, a operação deve ser analisada à luz da LGPD.

Essa avaliação deve considerar, inicialmente, os princípios previstos no artigo 6º da Lei, especialmente finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação. A organização deve conseguir demonstrar qual objetivo pretende alcançar com o monitoramento, quais informações são necessárias para esse objetivo e se seria possível atingir o mesmo resultado por meio de mecanismos menos intrusivos.

Essa distinção é particularmente importante porque nem todos os monitoramentos possuem o mesmo grau de interferência sobre a privacidade do trabalhador. Registrar tentativas de acesso a um sistema corporativo para identificar possíveis ameaças de segurança, por exemplo, apresenta características distintas de uma ferramenta que registra continuamente períodos de atividade, captura telas, monitora movimentos do mouse ou acompanha detalhadamente a navegação do colaborador para produzir indicadores individuais de produtividade.

Quanto mais detalhada e contínua for a observação, maior tende a ser o volume de informações produzido e, consequentemente, maior deve ser o rigor da organização na avaliação da necessidade e proporcionalidade da medida. A possibilidade técnica de coletar determinado dado não significa que sua coleta seja necessária. Esse raciocínio é especialmente relevante diante da expansão de ferramentas capazes de produzir análises comportamentais sobre trabalhadores a partir de grandes volumes de registros digitais.

A transparência também ocupa posição central nesse processo. O colaborador deve receber informações claras sobre a existência do monitoramento, suas finalidades e, de maneira compatível com a operação realizada, sobre quais categorias de dados são tratadas e como esse tratamento ocorre. Políticas internas de utilização de recursos tecnológicos, avisos de privacidade e procedimentos corporativos podem exercer papel relevante na formalização dessas práticas, desde que correspondam ao monitoramento efetivamente realizado pela organização.

Isso não significa, contudo, que a transparência seja suficiente para legitimar qualquer prática. Informar que determinado monitoramento existe não torna automaticamente proporcional uma coleta excessiva de dados. A organização continua responsável por demonstrar a necessidade da medida, estabelecer uma base legal adequada e implementar salvaguardas compatíveis com os riscos envolvidos.

A definição da base legal, inclusive, deve acompanhar a finalidade concreta de cada operação. Dependendo das circunstâncias, determinados tratamentos podem ser avaliados sob hipóteses como o cumprimento de obrigação legal ou regulatória, o exercício regular de direitos ou o legítimo interesse. Neste último caso, é especialmente relevante avaliar a finalidade legítima pretendida, a necessidade do tratamento, os direitos e as legítimas expectativas do trabalhador e as salvaguardas adotadas pela organização.

Outro aspecto frequentemente negligenciado é o ciclo de vida das informações geradas pelo monitoramento. Logs, históricos e relatórios podem continuar armazenados muito depois de cumprirem a finalidade que justificou sua coleta. Por isso, a governança deve estabelecer critérios para retenção e descarte, além de definir quem pode acessar esses registros e em quais circunstâncias eles poderão ser utilizados.

A finalidade também deve limitar usos posteriores. Informações inicialmente coletadas para segurança da informação, por exemplo, não deveriam ser automaticamente reutilizadas para avaliar produtividade ou comportamento profissional sem uma análise específica sobre a compatibilidade dessa nova finalidade com a LGPD. A mudança de propósito pode alterar substancialmente os riscos e as expectativas existentes no momento da coleta.

Também merece atenção a contratação de fornecedores de tecnologias de monitoramento. Soluções externas podem receber grandes volumes de dados sobre a rotina dos trabalhadores, tornando necessário compreender onde essas informações são armazenadas, quais funcionalidades estão habilitadas, se o fornecedor utiliza os dados para finalidades próprias, quais terceiros participam da operação e quais controles de segurança são aplicados.

Sob a perspectiva da governança, portanto, a questão não deve ser simplesmente “a empresa pode monitorar seus colaboradores?”, mas “qual monitoramento é efetivamente necessário para atingir determinada finalidade e quais limites devem ser estabelecidos para que essa atividade seja proporcional e transparente?”

A tecnologia tornou possível acompanhar praticamente todos os movimentos realizados em um ambiente digital. A conformidade com a LGPD, entretanto, exige justamente distinguir aquilo que é tecnicamente possível daquilo que é juridicamente justificável e efetivamente necessário.

Câmeras no ambiente de trabalho também tratam dados pessoais

A utilização de câmeras de segurança tornou-se tão incorporada à rotina das organizações que, muitas vezes, esses equipamentos são analisados exclusivamente sob a perspectiva da segurança patrimonial. Entretanto, quando as imagens permitem identificar ou tornar identificáveis colaboradores, prestadores de serviços, clientes ou visitantes, há tratamento de dados pessoais e, consequentemente, a atividade deve integrar a governança de privacidade e proteção de dados da organização.

Sob a perspectiva da LGPD, a instalação de uma câmera representa apenas uma parte de um fluxo de tratamento mais amplo. A captação da imagem, sua transmissão, visualização, armazenamento, consulta, extração, compartilhamento e posterior eliminação constituem operações que precisam ser consideradas ao longo de todo o ciclo de vida do dado. Por essa razão, não basta avaliar onde os equipamentos estão posicionados: é necessário compreender por que as imagens são coletadas, como são utilizadas e quais controles existem sobre elas.

A definição da finalidade é um dos primeiros elementos dessa análise. Sistemas de videomonitoramento podem ser utilizados, por exemplo, para proteção de pessoas e do patrimônio, controle de acesso, prevenção e apuração de incidentes ou proteção de determinadas áreas críticas. A organização deve identificar claramente o objetivo pretendido e verificar se a utilização das câmeras é adequada e necessária para alcançá-lo.

Essa avaliação deve ser realizada em conjunto com os princípios da adequação e da necessidade, previstos no artigo 6º da LGPD. A existência de uma finalidade legítima não significa que qualquer nível de monitoramento seja justificável. É necessário avaliar a quantidade de câmeras, seu campo de visão, os ambientes alcançados, as funcionalidades utilizadas e o grau de interferência que a medida pode produzir sobre a privacidade das pessoas monitoradas.

A localização dos equipamentos, nesse sentido, merece atenção especial. Há uma diferença relevante entre monitorar entradas, saídas, áreas de circulação ou locais que demandem maior proteção e instalar mecanismos de vigilância em espaços nos quais exista uma expectativa significativamente maior de privacidade. Quanto mais invasiva for a medida, maior deverá ser a justificativa para sua adoção e mais rigorosa deverá ser a análise sobre sua necessidade e proporcionalidade.

Também é importante considerar as próprias funcionalidades da tecnologia utilizada. Sistemas modernos podem ir muito além da simples gravação de imagens e incorporar reconhecimento facial, identificação biométrica, análise comportamental, contagem e rastreamento de pessoas ou outras funcionalidades baseadas em inteligência artificial. A ativação desses recursos pode alterar substancialmente a natureza e os riscos do tratamento e, em determinadas situações, envolver dados pessoais sensíveis, exigindo análise jurídica e de proteção de dados específica.

Outro aspecto essencial é a transparência. As pessoas que circulam em ambientes monitorados devem receber informações adequadas sobre a realização desse tratamento. A organização deve estruturar mecanismos de comunicação compatíveis com o contexto, de modo que colaboradores e demais titulares não sejam submetidos a uma vigilância desconhecida ou cuja finalidade não esteja claramente estabelecida.

A transparência, contudo, não deve ser confundida com uma autorização irrestrita para monitorar. Assim como ocorre com outras tecnologias utilizadas no ambiente de trabalho, informar a existência das câmeras não torna automaticamente legítima uma prática excessiva ou desproporcional. A organização continua responsável por definir a base legal aplicável, demonstrar a necessidade do tratamento e estabelecer salvaguardas adequadas.

A governança das gravações também precisa considerar quem pode acessar as imagens e em quais circunstâncias. Permissões indiscriminadas podem ampliar significativamente os riscos de exposição, utilização indevida ou compartilhamento não autorizado. O acesso deve ser limitado aos profissionais que efetivamente necessitem das informações para o desempenho de suas atribuições, com controles compatíveis com a criticidade do sistema e, quando pertinente, mecanismos de registro e rastreabilidade das consultas realizadas.

Da mesma forma, as imagens não devem ser armazenadas automaticamente por prazo indeterminado. O período de retenção precisa estar relacionado à finalidade que justificou a gravação e às eventuais hipóteses que autorizem sua conservação. Encerrada a necessidade do tratamento e inexistindo fundamento para manutenção, a organização deve possuir procedimentos adequados para eliminação segura dos registros.

Um ponto particularmente relevante está no desvio ou ampliação da finalidade. Imagens inicialmente coletadas para proteção patrimonial ou segurança das instalações não devem ser automaticamente reutilizadas para acompanhar produtividade, avaliar comportamento profissional ou realizar outras formas de vigilância sobre os trabalhadores sem uma nova análise sobre finalidade, necessidade, base legal, proporcionalidade e transparência. A alteração do propósito pode modificar significativamente os impactos do tratamento sobre os titulares.

Também é necessário considerar situações em que as imagens são compartilhadas externamente, como em investigações, demandas judiciais, solicitações de autoridades ou serviços prestados por empresas terceirizadas de segurança e monitoramento. Esses fluxos devem estar inseridos no mapeamento de dados da organização, com definição das responsabilidades e dos controles aplicáveis a cada operação.

Sob a perspectiva do DPO e da governança de privacidade, portanto, as câmeras não devem ser tratadas apenas como equipamentos de segurança física. Elas constituem fontes permanentes de coleta de dados pessoais e precisam ser incluídas no inventário das operações de tratamento, nas avaliações de risco, nos procedimentos de retenção e nas políticas de controle de acesso da organização.

O fato de um sistema de videomonitoramento existir há muitos anos não constitui, por si só, justificativa para sua manutenção nos mesmos moldes. A pergunta relevante não é “as câmeras sempre estiveram aqui?”, mas “por que cada câmera é necessária, quais dados ela coleta, quem pode acessar essas imagens e por quanto tempo elas realmente precisam ser mantidas?”

Transformar essas perguntas em controles efetivos é o que permite que a videovigilância deixe de ser um ponto cego do programa de privacidade e passe a ser tratada como aquilo que efetivamente é: uma operação contínua de tratamento de dados pessoais que exige finalidade, limites e governança.

Folha, benefícios e fornecedores: os dados do colaborador não ficam apenas dentro da empresa

A gestão de dados pessoais pelo setor de Recursos Humanos dificilmente ocorre de forma totalmente interna. Para viabilizar atividades relacionadas à folha de pagamento, benefícios, recrutamento, saúde ocupacional, controle de jornada e administração do vínculo de trabalho, as organizações frequentemente dependem de diferentes fornecedores e parceiros que passam a integrar o ciclo de tratamento das informações dos colaboradores.

Nesse ecossistema podem estar presentes empresas responsáveis pelo processamento da folha, instituições financeiras, operadoras de planos de saúde, seguradoras, administradoras de benefícios, plataformas de recrutamento, sistemas de gestão de pessoas, serviços de medicina ocupacional, provedores de tecnologia e soluções em nuvem, entre outros. Na prática, os dados de um único trabalhador podem transitar por diferentes sistemas e organizações durante toda a relação de trabalho.

Esse cenário demonstra por que o mapeamento dos dados do RH não pode terminar nas fronteiras da própria empresa. Conhecer os sistemas internos e os profissionais que acessam determinada informação é apenas parte da análise. A organização também precisa compreender para onde os dados são enviados, quais terceiros participam do tratamento, quais informações recebem e para quais finalidades as utilizam.

Essa identificação é particularmente relevante porque os compartilhamentos realizados pelo RH podem envolver desde dados cadastrais e financeiros até dados pessoais sensíveis. Informações relacionadas à saúde, por exemplo, podem circular em operações envolvendo medicina ocupacional, assistência médica ou determinados benefícios. Quanto maior a sensibilidade e o volume das informações compartilhadas, maior deve ser a atenção aos riscos decorrentes de acessos indevidos, vazamentos, utilização incompatível com a finalidade original ou conservação desnecessária dos dados.

Sob a perspectiva da LGPD, a participação de um terceiro também exige compreender qual papel cada organização desempenha na operação de tratamento. A simples existência de uma relação contratual de prestação de serviços não significa que todo fornecedor será automaticamente classificado da mesma maneira para fins de proteção de dados. A definição dos agentes de tratamento deve considerar as atividades efetivamente desempenhadas e, especialmente, quem toma as decisões relacionadas às finalidades e aos elementos essenciais do tratamento.

Em determinadas operações, o fornecedor poderá atuar como operador, realizando o tratamento de dados pessoais em nome do controlador e de acordo com suas instruções, conforme a dinâmica prevista nos artigos 5º e 39 da LGPD. Em outras situações, a organização terceira poderá possuir atribuições e responsabilidades próprias sobre determinadas operações. Por isso, a qualificação das partes deve refletir a realidade do tratamento, e não apenas a nomenclatura utilizada no contrato.

Esse cuidado também impede uma prática relativamente comum: utilizar cláusulas padronizadas de proteção de dados sem verificar se elas correspondem ao serviço efetivamente prestado. Um contrato pode declarar determinada empresa como operadora, por exemplo, enquanto a dinâmica operacional demonstra que ela toma decisões próprias sobre certos tratamentos. A governança contratual deve acompanhar a realidade do fluxo de dados.

A seleção e a avaliação dos fornecedores também constituem medidas relevantes de prevenção. Antes de compartilhar informações de colaboradores, é recomendável que a organização avalie aspectos relacionados às práticas de privacidade e segurança do terceiro, considerando a natureza do serviço, as categorias de dados envolvidas e os riscos da operação. Questionários de due diligence, análise de evidências, requisitos mínimos de segurança e avaliações periódicas podem integrar esse processo de gestão.

A própria LGPD estabelece, em seu artigo 46, que os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. Dessa forma, a contratação de um fornecedor não deve ser interpretada como transferência integral da preocupação com a segurança das informações. A organização precisa estabelecer controles proporcionais ao risco e acompanhar os terceiros que integram operações relevantes de tratamento.

Os contratos assumem papel importante nesse contexto. Conforme as características da relação, devem estabelecer de maneira adequada aspectos como finalidade e limites do tratamento, dever de confidencialidade, requisitos de segurança, comunicação e cooperação em incidentes, atendimento aos direitos dos titulares, utilização de subcontratados, conservação, devolução ou eliminação dos dados e responsabilidades das partes.

A utilização de suboperadores ou outros terceiros pelo próprio fornecedor também merece atenção. Uma plataforma contratada pelo RH pode depender de provedores de infraestrutura, serviços em nuvem ou outras empresas para executar suas atividades. Isso pode ampliar a cadeia de tratamento e fazer com que os dados dos colaboradores circulem por organizações que não participaram diretamente da contratação inicial.

Esse mapeamento também é importante para identificar possíveis transferências internacionais de dados. Soluções tecnológicas utilizadas pelo RH podem armazenar ou processar informações em infraestrutura localizada fora do Brasil. Nessas situações, além de conhecer o fluxo internacional, a organização deve observar as regras previstas na LGPD e a regulamentação da ANPD aplicável às transferências internacionais de dados pessoais.

A governança também deve alcançar o encerramento da relação com o fornecedor. O término do contrato não significa, necessariamente, que todas as cópias dos dados deixaram de existir. É necessário definir o que deverá ocorrer com as informações armazenadas, considerando eventual devolução, eliminação, anonimização ou conservação quando houver fundamento jurídico que a justifique.

Assim, a gestão de terceiros deve ser compreendida como uma extensão da própria governança de privacidade do RH. Terceirizar uma atividade não significa terceirizar integralmente os riscos relacionados aos dados pessoais envolvidos naquela operação.

Para o DPO, a pergunta não deve se limitar a “quais fornecedores o RH contratou?”, mas avançar para questões mais relevantes: quais dados cada fornecedor recebe, por que precisa recebê-los, o que pode fazer com essas informações, quem mais participa desse tratamento e o que acontece com os dados quando a relação termina?

Quanto mais completa for essa visão sobre a cadeia de tratamento, maior será a capacidade da organização de identificar riscos, estabelecer responsabilidades e evitar que os dados dos colaboradores desapareçam em uma rede de fornecedores sobre a qual ninguém possui uma visão efetiva.

Desligamento: sair da empresa não significa apagar tudo, nem guardar tudo para sempre

O encerramento do vínculo de trabalho representa uma etapa importante do ciclo de vida dos dados pessoais no RH, mas não significa o término automático de todas as operações de tratamento relacionadas ao ex-colaborador. Mesmo após o desligamento, determinadas informações podem precisar ser conservadas pela organização para atender obrigações legais ou regulatórias, comprovar o cumprimento de deveres decorrentes da relação de trabalho ou possibilitar o exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Essa continuidade do armazenamento encontra respaldo na própria lógica da LGPD. O artigo 15 estabelece hipóteses para o término do tratamento, enquanto o artigo 16 admite a conservação dos dados pessoais após esse término em determinadas situações, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador. Dessa forma, a eliminação não deve ser compreendida como uma consequência imediata e indiscriminada do desligamento.

Na prática, a relação de trabalho produz uma quantidade significativa de registros que podem permanecer relevantes após seu encerramento. Documentos admissionais, registros relacionados à remuneração, folha de pagamento, jornada, férias, benefícios, obrigações trabalhistas e previdenciárias, treinamentos, ocorrências e documentos relacionados ao próprio desligamento são exemplos de informações cujo período de conservação precisa ser analisado considerando a finalidade para a qual foram produzidas e as obrigações aplicáveis à organização.

O problema surge quando a necessidade de preservar alguns documentos é interpretada como autorização para conservar todo o histórico do trabalhador por tempo indeterminado. A LGPD não estabelece uma regra geral segundo a qual todos os dados pessoais devam ser eliminados imediatamente após o encerramento do vínculo, mas também não legitima sua manutenção indefinida sem finalidade ou fundamento jurídico.

É justamente nesse momento que o princípio da necessidade assume papel relevante. A organização deve avaliar quais informações continuam sendo necessárias após o desligamento, para qual finalidade devem ser preservadas e durante quanto tempo essa necessidade permanece. Dados cuja finalidade tenha sido encerrada e cuja conservação não encontre outra justificativa devem seguir procedimentos adequados de eliminação ou, quando aplicável, outra medida compatível com a LGPD.

Essa análise também demonstra por que não é recomendável estabelecer um prazo único de retenção para todo o prontuário do colaborador. Diferentes documentos podem estar sujeitos a finalidades, obrigações e prazos distintos. Enquanto determinada informação pode precisar ser conservada para comprovação de uma obrigação trabalhista ou previdenciária, outra pode ter perdido sua utilidade imediatamente após o encerramento de determinado processo interno.

Além disso, os prazos de retenção não devem ser definidos exclusivamente a partir da LGPD. A legislação de proteção de dados estabelece os princípios e as condições gerais para conservação e eliminação, mas a determinação do período aplicável pode depender de normas trabalhistas, previdenciárias, tributárias, regulatórias e de regras relacionadas ao exercício regular de direitos, conforme a natureza de cada documento. Por isso, a construção de uma política de retenção exige uma análise integrada entre privacidade, jurídico, RH, compliance, segurança da informação e, quando necessário, outras áreas responsáveis.

Outro desafio está no fato de que os dados do trabalhador raramente permanecem concentrados em um único local. Ao longo da relação de trabalho, informações podem ser reproduzidas em sistemas de RH, plataformas de folha, ferramentas de benefícios, serviços em nuvem, servidores internos, caixas de e-mail, pastas compartilhadas, arquivos físicos e sistemas de fornecedores. No momento do desligamento, portanto, não basta analisar apenas o prontuário oficial do colaborador.

É comum, por exemplo, que documentos sejam baixados de sistemas corporativos e mantidos em pastas pessoais de gestores ou profissionais do RH, que planilhas sejam criadas para controles temporários e nunca posteriormente eliminadas ou que arquivos sejam encaminhados por e-mail e permaneçam armazenados por anos. Essas cópias paralelas dificultam a aplicação dos prazos de retenção e ampliam desnecessariamente a superfície de exposição dos dados pessoais.

Os sistemas legados representam outro ponto de atenção. A substituição de uma plataforma de RH não significa que os dados existentes no sistema anterior tenham sido automaticamente eliminados. Bases históricas podem permanecer acessíveis durante anos, inclusive com perfis de acesso desatualizados, simplesmente porque nenhuma área assumiu responsabilidade pela revisão daquele ambiente.

A retenção também precisa ser considerada na relação com fornecedores. O desligamento do colaborador ou mesmo o encerramento do contrato com determinado prestador não garante que todas as informações tenham sido excluídas de seus ambientes. A organização deve conhecer as regras de conservação adotadas pelos terceiros, definir contratualmente o tratamento aplicável ao término da prestação dos serviços e compreender eventuais situações em que o fornecedor precise conservar determinados registros por obrigação própria.

Por isso, uma estratégia eficiente de governança deve estabelecer uma política ou tabela de retenção e descarte capaz de relacionar, para cada categoria documental ou conjunto de dados, a finalidade do tratamento, o fundamento que justifica sua conservação, o período aplicável, o evento que inicia a contagem desse período e a destinação prevista ao final do prazo.

Também é importante que essa política seja operacionalizável. Uma tabela de temporalidade que existe apenas formalmente, mas não está vinculada aos sistemas, arquivos físicos, rotinas do RH e contratos com fornecedores, terá pouca efetividade. A organização precisa definir responsáveis e procedimentos para revisar periodicamente os dados armazenados e executar sua eliminação quando os critérios de conservação deixarem de existir.

Sob a perspectiva da LGPD, portanto, uma boa gestão do desligamento exige equilíbrio entre dois extremos igualmente problemáticos: eliminar prematuramente informações que a organização ainda precisa conservar e manter indefinidamente dados pessoais que já não possuem finalidade ou fundamento para permanecer armazenados.

Para o DPO e para o RH, a pergunta relevante não deve ser apenas “por quanto tempo guardamos os dados de ex-colaboradores?”, mas algo mais preciso: “quais dados precisamos conservar, por qual motivo, qual regra justifica essa conservação, onde essas informações estão armazenadas e o que acontecerá com elas quando esse prazo terminar?”

O desligamento, portanto, não deve representar o fim da governança sobre os dados do trabalhador. Pelo contrário, é o momento em que a organização precisa demonstrar que consegue administrar adequadamente a etapa final do ciclo de vida das informações, preservando aquilo que ainda possui uma justificativa legítima e eliminando, de maneira segura, aquilo que já não precisa permanecer sob sua responsabilidade.

O que o DPO deve revisar no RH?

A conformidade do setor de Recursos Humanos com a LGPD não deve ser compreendida como uma atividade pontual, limitada à elaboração de políticas, revisão de contratos ou obtenção de termos de consentimento. O RH é uma área dinâmica, na qual novos colaboradores são contratados, fornecedores são substituídos, tecnologias são incorporadas e diferentes formas de tratamento surgem continuamente. Por essa razão, a proteção de dados deve integrar um processo permanente de governança, revisão e gerenciamento de riscos.

Nesse contexto, a atuação do DPO deve começar pela compreensão do ciclo de vida dos dados pessoais dentro do RH. Isso significa identificar como as informações são coletadas desde o recrutamento e seleção, quais tratamentos ocorrem durante a relação de trabalho, com quem os dados são compartilhados, onde são armazenados e o que acontece com eles após o desligamento. Esse mapeamento permite identificar operações que, embora façam parte da rotina há anos, podem nunca ter sido formalmente avaliadas sob a perspectiva da proteção de dados.

O inventário das operações de tratamento deve ser acompanhado da identificação das finalidades e das respectivas bases legais. Não basta registrar que o RH trata dados de colaboradores: é necessário compreender por que cada categoria de informação é utilizada e qual hipótese jurídica sustenta aquela operação. Folha de pagamento, benefícios, controle de jornada, recrutamento, saúde ocupacional, segurança física e monitoramento, por exemplo, possuem características distintas e não devem ser agrupados sob uma justificativa genérica.

Essa revisão deve ser ainda mais criteriosa quando envolver dados pessoais sensíveis. Informações relacionadas à saúde, biometria, deficiência e outras categorias previstas no artigo 5º, inciso II, da LGPD exigem a análise das hipóteses específicas do artigo 11, além de controles mais rigorosos sobre acesso, compartilhamento e segurança. O DPO deve verificar não apenas se existe fundamento para o tratamento, mas se o volume de informações coletadas é efetivamente necessário para a finalidade pretendida.

Os perfis de acesso também merecem revisão periódica. Uma das fragilidades mais comuns não está necessariamente na coleta do dado, mas no número de pessoas que conseguem consultá-lo posteriormente. Mudanças de função, desligamentos, permissões concedidas de maneira genérica e pastas compartilhadas podem fazer com que informações permaneçam disponíveis para profissionais que já não possuem necessidade de acesso. A adoção do princípio do menor privilégio, associada a revisões periódicas das permissões, contribui para reduzir esse risco.

Da mesma forma, é necessário verificar os critérios de retenção e descarte. O DPO deve avaliar se a organização possui regras capazes de diferenciar documentos que precisam ser conservados daqueles cuja finalidade já se encerrou. Essa análise deve alcançar sistemas corporativos, arquivos físicos, e-mails, backups, sistemas legados, pastas compartilhadas e eventuais controles paralelos mantidos pelas equipes.

A transparência perante candidatos e colaboradores constitui outro elemento importante. Avisos de privacidade devem refletir aquilo que efetivamente acontece nas operações do RH, apresentando informações compatíveis com os tratamentos realizados. Documentos genéricos, desatualizados ou desconectados da prática podem criar uma aparência de conformidade sem oferecer ao titular compreensão adequada sobre a utilização de seus dados.

A análise também precisa ultrapassar os limites internos da organização. O DPO deve conhecer os fornecedores que recebem ou acessam dados de candidatos e trabalhadores, compreender a dinâmica de cada tratamento e verificar se os contratos refletem adequadamente as responsabilidades das partes. Plataformas de recrutamento, sistemas de folha, empresas de benefícios, serviços de medicina ocupacional, provedores de tecnologia e outras organizações podem integrar cadeias complexas de tratamento que precisam ser consideradas no programa de governança.

Essa avaliação deve alcançar inclusive os fornecedores utilizados pelos próprios prestadores, quando relevantes para a operação. Também é importante identificar eventual transferência internacional de dados, especialmente em soluções tecnológicas e serviços em nuvem, verificando a aplicação dos mecanismos e requisitos estabelecidos pela LGPD e pela regulamentação da ANPD.

A incorporação de novas tecnologias exige atenção adicional. Ferramentas de inteligência artificial, decisões automatizadas, reconhecimento biométrico, monitoramento de produtividade, geolocalização e videomonitoramento podem modificar significativamente os riscos associados aos tratamentos realizados pelo RH. O DPO deve participar da avaliação dessas soluções antes de sua implementação, e não somente depois que os dados já estiverem sendo coletados.

Também devem ser avaliados os procedimentos existentes para o exercício dos direitos dos titulares. Candidatos, colaboradores e ex-colaboradores continuam sendo titulares de dados pessoais e podem apresentar solicitações relacionadas aos direitos previstos na LGPD. O RH precisa estar preparado para identificar essas demandas, encaminhá-las adequadamente e localizar as informações necessárias para permitir uma resposta consistente.

A segurança da informação deve acompanhar todas essas atividades. Em consonância com o artigo 46 da LGPD, devem existir medidas técnicas e administrativas aptas a proteger os dados pessoais, considerando a natureza das informações e os riscos envolvidos. Controles de acesso, autenticação, registros de atividades, procedimentos de backup, proteção de arquivos, gestão de incidentes, conscientização dos colaboradores e requisitos de segurança aplicáveis aos fornecedores são exemplos de medidas que devem ser analisadas em conjunto com as áreas responsáveis.

Operações com maior potencial de impacto também exigem uma abordagem baseada em risco. Quando determinado tratamento puder representar alto risco à garantia dos princípios gerais de proteção de dados pessoais e às liberdades civis e aos direitos fundamentais dos titulares, deve-se avaliar a necessidade de aprofundamento da análise e, conforme o caso, da elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD). O relatório permite documentar a operação, os riscos identificados e as medidas, salvaguardas e mecanismos adotados para mitigá-los, observando-se a LGPD e as orientações regulatórias aplicáveis.

Entretanto, uma revisão efetiva do RH não pode se limitar aos documentos oficiais. Existe uma diferença importante entre o processo formalmente descrito e aquilo que efetivamente acontece na rotina da organização. Uma política pode determinar acesso restrito enquanto uma pasta compartilhada permanece disponível para toda a equipe; um procedimento pode estabelecer determinado prazo de retenção enquanto planilhas antigas continuam armazenadas; um contrato pode limitar o uso dos dados enquanto um fornecedor os utiliza de maneira mais ampla na prática.

É justamente nesses fluxos informais que muitas fragilidades se tornam visíveis. Planilhas criadas para solucionar demandas temporárias, currículos encaminhados por e-mail, documentos armazenados em computadores locais, informações de saúde compartilhadas em grupos de mensagens, acessos que nunca foram revogados e bases mantidas “por precaução” podem representar riscos tão relevantes quanto aqueles existentes nos grandes sistemas corporativos.

Por isso, o trabalho do DPO deve combinar documentação, entrevistas com as áreas, análise dos fluxos reais, avaliação de fornecedores, revisão de controles e monitoramento contínuo. O objetivo não é apenas verificar se o RH possui políticas de proteção de dados, mas determinar se essas políticas são efetivamente incorporadas aos processos cotidianos.

Uma pergunta pode sintetizar essa avaliação: se a organização precisasse demonstrar hoje todo o caminho percorrido pelos dados de um colaborador — desde o recebimento de seu currículo até a eliminação das últimas informações após o desligamento — conseguiria identificar onde esses dados estão, por que são tratados, quem possui acesso, com quem foram compartilhados e por quanto tempo permanecerão armazenados?

É essa capacidade de conhecer, justificar e controlar o ciclo de vida das informações que transforma a conformidade do RH em um processo efetivo de governança de dados pessoais, e não apenas em um conjunto de documentos destinados a demonstrar adequação à LGPD.

Conclusão

O setor de Recursos Humanos ocupa uma posição particularmente sensível na governança de dados pessoais de qualquer organização. Poucas áreas acompanham o titular por tantas etapas e concentram informações tão diversas ao longo do tempo. O tratamento pode começar antes mesmo da existência de uma relação de trabalho, com o recebimento de um currículo, intensificar-se durante o vínculo empregatício e continuar, de maneira justificada, mesmo após o desligamento.

Essa característica faz com que a conformidade do RH com a LGPD não possa ser reduzida à obtenção de consentimentos, à inclusão de cláusulas de proteção de dados nos contratos de trabalho ou à publicação de políticas internas. Embora esses instrumentos possam integrar um programa de privacidade, eles não substituem a necessidade de compreender como os dados efetivamente circulam, por que são tratados e quais riscos surgem em cada etapa desse ciclo.

Ao longo dessa jornada, diferentes operações exigem respostas igualmente distintas. A base legal adequada para determinado tratamento pode não ser aplicável a outro; informações necessárias para a folha de pagamento não devem automaticamente estar disponíveis para qualquer profissional do RH; dados de saúde exigem cuidados adicionais; currículos não devem permanecer indefinidamente armazenados sem uma finalidade que justifique sua conservação; e informações compartilhadas com fornecedores continuam demandando governança mesmo depois de deixarem o ambiente interno da organização.

O avanço tecnológico adiciona uma nova dimensão a esse cenário. Inteligência artificial aplicada ao recrutamento, sistemas de monitoramento de produtividade, biometria, videomonitoramento e ferramentas capazes de analisar o comportamento dos trabalhadores ampliam significativamente a capacidade das organizações de coletar, relacionar e utilizar informações sobre pessoas. Ao mesmo tempo em que essas tecnologias podem proporcionar eficiência, também podem aumentar a assimetria informacional e os riscos relacionados à privacidade, à discriminação, à transparência e ao uso excessivo de dados.

Por essa razão, quanto maior a capacidade tecnológica de conhecer e acompanhar o trabalhador, maior deve ser a maturidade da organização para justificar, limitar e controlar esse tratamento. A possibilidade técnica de coletar uma informação não significa que ela seja necessária, assim como a existência de determinado dado nos sistemas corporativos não justifica sua conservação permanente ou seu acesso indiscriminado.

Uma governança efetiva de proteção de dados no RH exige, portanto, uma visão de ciclo de vida. Isso significa identificar os tratamentos desde o recrutamento, definir suas finalidades e bases legais, aplicar critérios de minimização, estabelecer controles de acesso, administrar adequadamente dados pessoais sensíveis, avaliar fornecedores, implementar medidas de segurança e determinar quando as informações devem ser eliminadas. Significa também revisar essas decisões periodicamente, porque processos, tecnologias, riscos e relações com terceiros se modificam ao longo do tempo.

Nesse contexto, o DPO exerce papel relevante ao aproximar a proteção de dados da realidade operacional do RH. Mais do que verificar a existência de documentos, sua atuação deve contribuir para identificar diferenças entre aquilo que está formalmente estabelecido e aquilo que efetivamente acontece no cotidiano: planilhas paralelas, acessos excessivos, compartilhamentos informais, sistemas antigos, fornecedores não mapeados e informações conservadas sem uma justificativa claramente definida.

A conformidade, portanto, não deve ser medida apenas pela quantidade de políticas existentes, mas pela capacidade da organização de conhecer, justificar e controlar o tratamento dos dados pessoais sob sua responsabilidade.

Ao final, uma pergunta simples pode funcionar como um importante teste de maturidade: se um candidato, colaborador ou ex-colaborador perguntar por que determinada informação foi coletada, qual fundamento autoriza sua utilização, quem possui acesso, com quais terceiros ela foi compartilhada e quando será eliminada, a organização consegue responder com clareza e demonstrar essas respostas na prática?

Se essas respostas ainda dependem de suposições, informações dispersas ou práticas que ninguém consegue justificar adequadamente, provavelmente existe um fluxo que precisa ser revisto.

Mais do que uma obrigação decorrente da LGPD, estruturar a proteção de dados no RH significa reconhecer que a gestão de pessoas também é, inevitavelmente, uma atividade de gestão de dados. E quanto mais dados fizerem parte das decisões sobre pessoas, mais necessária será uma governança capaz de assegurar que seu uso permaneça legítimo, necessário, transparente e seguro ao longo de toda a relação com a organização.

O Papel da DPO Expert na Governança e Prevenção de Riscos

A DPO Expert apoia organizações na estruturação de uma abordagem completa de privacidade e proteção de dados aplicada aos processos de Recursos Humanos, considerando todo o ciclo de vida das informações, desde o recrutamento e seleção até o período posterior ao desligamento. Essa atuação envolve o mapeamento dos fluxos de dados, definição das bases legais aplicáveis, revisão do tratamento de dados pessoais sensíveis, critérios de retenção e descarte, controles de acesso, gestão de fornecedores e avaliação das medidas técnicas e administrativas adotadas pela organização.

O trabalho também abrange a análise de práticas que apresentam riscos específicos no ambiente laboral, como o uso de inteligência artificial em processos seletivos, monitoramento de colaboradores, videomonitoramento, biometria e compartilhamento de informações com terceiros, além da revisão de políticas, avisos de privacidade, contratos, Registros das Operações de Tratamento (ROPA) e, quando aplicável, Relatórios de Impacto à Proteção de Dados Pessoais (RIPD).

Dessa forma, a DPO Expert não apenas viabiliza a conformidade com a LGPD, mas contribui diretamente para o aumento da maturidade organizacional em proteção de dados, posicionando a empresa de forma mais segura, competitiva e preparada para os desafios do ambiente digital.

Clique aqui e veja como a DPO Expert pode proteger sua empresa.

Siga nossa página no LinkedIn