A Lei Geral de Proteção de Dados (Lei 13.709/2018) transformou a forma como as empresas precisam tratar informações pessoais. No contexto das relações de trabalho, esse impacto é especialmente significativo: o empregador coleta, armazena e processa um volume considerável de dados pessoais dos trabalhadores desde o processo seletivo até muito depois do desligamento.
Portanto, entender o que a LGPD exige nas relações de trabalho, quais dados estão sujeitos à lei, quais são as bases legais aplicáveis e como estruturar a conformidade de forma prática é essencial para qualquer empresa que queira proteger seus trabalhadores e evitar passivos jurídicos significativos.
Sumário
- 1 O que é a LGPD e por que ela se aplica às relações de trabalho
- 2 Quais dados dos trabalhadores a LGPD protege
- 3 Bases legais para tratamento de dados nas relações de trabalho
- 4 As obrigações práticas do empregador sob a LGPD
- 5 LGPD, saúde ocupacional e dados sensíveis
- 6 LGPD e desligamento: o que fazer com os dados após o término do contrato
- 7 Conclusão
O que é a LGPD e por que ela se aplica às relações de trabalho
A LGPD estabelece regras para a coleta, o armazenamento, o tratamento e o compartilhamento de dados pessoais por pessoas físicas ou jurídicas, em qualquer meio. No contexto trabalhista, dados pessoais são informações que identificam ou podem identificar uma pessoa: nome, CPF, endereço, histórico profissional, salário, dados de saúde, avaliações de desempenho, registros de ponto e qualquer outra informação vinculada ao trabalhador.
Consequentemente, a relação empregador-empregado é, por natureza, uma relação de tratamento intensivo de dados pessoais. Contratar, remunerar, avaliar, promover, monitorar e desligar trabalhadores são atividades que envolvem dados pessoais em cada etapa. A LGPD não proíbe esse tratamento, mas exige que ele seja feito de forma transparente, proporcional e com base legal definida.
Quais dados dos trabalhadores a LGPD protege
A LGPD distingue dois tipos de dados com tratamentos diferentes.
- Dados pessoais comuns: incluem nome, endereço, CPF, histórico de emprego, salário, avaliações de desempenho e registros de ponto. Para esses dados, o empregador tem bases legais relativamente amplas para o tratamento, especialmente o cumprimento de obrigação legal ou regulatória e a execução do contrato de trabalho.
- Dados pessoais sensíveis: incluem informações sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, dado genético, biométrico e vida sexual. Para esses dados, a LGPD exige atenção redobrada, pois as bases legais são mais restritas e o risco de discriminação em caso de vazamento ou uso inadequado é significativamente maior.
No contexto trabalhista, dados sensíveis aparecem com frequência: prontuários médicos do PCMSO, laudos de insalubridade com informações de saúde, dados biométricos para controle de ponto e informações sobre deficiências para fins de cotas. Todos esses dados precisam ser tratados com base legal específica e com controles de segurança proporcionais à sua sensibilidade. O artigo sobre a NR-7 atualizada contextualiza como os dados de saúde ocupacional se inserem nesse sistema.
Bases legais para tratamento de dados nas relações de trabalho
A LGPD exige que todo tratamento de dados tenha uma base legal definida. Nas relações de trabalho, as mais relevantes são:
- Cumprimento de obrigação legal ou regulatória: a empresa precisa tratar determinados dados para cumprir exigências da CLT, das NRs, da Receita Federal e de outros órgãos reguladores. O envio de informações ao eSocial, a emissão de holerite e o registro de admissão e demissão se enquadram nessa base.
- Execução de contrato: o tratamento de dados necessário para a gestão da relação de trabalho, como folha de pagamento, avaliações de desempenho e controle de jornada, se enquadra nessa base.
- Legítimo interesse: o empregador pode tratar dados para fins legítimos que não prejudiquem os direitos fundamentais do trabalhador. Monitoramento de e-mails corporativos e câmeras de segurança podem se enquadrar aqui, desde que os trabalhadores sejam informados previamente e o monitoramento seja proporcional.
- Consentimento: é a base mais frágil nas relações de trabalho, porque o desequilíbrio de poder entre empregador e empregado pode tornar o consentimento não genuinamente livre. A ANPD e a doutrina especializada recomendam cautela no uso do consentimento como base legal no contexto trabalhista.
As obrigações práticas do empregador sob a LGPD
Transparência e aviso de privacidade
O trabalhador tem direito de saber quais dados são coletados, para qual finalidade, por quanto tempo são armazenados e com quem são compartilhados. Portanto, o empregador deve elaborar e comunicar um aviso de privacidade específico para trabalhadores, distinto do aviso destinado a clientes.
Minimização de dados
A LGPD proíbe a coleta de dados em quantidade superior à necessária para a finalidade declarada. Pedir documentos ou informações que não têm relação com a função a ser desempenhada viola esse princípio. Processos seletivos que solicitam dados de saúde, estado civil ou planejamento familiar sem justificativa legítima são exemplos de coleta excessiva que precisa ser revisada.
Segurança da informação
O empregador é responsável por proteger os dados dos trabalhadores contra acessos não autorizados, vazamentos e usos indevidos. Isso implica controles de acesso aos sistemas de RH, criptografia de dados sensíveis, procedimentos de resposta a incidentes e capacitação das equipes que manipulam esses dados. Essa responsabilidade se integra diretamente ao compliance para RH e às políticas de o que é compliance da organização.
Direitos dos titulares
Os trabalhadores têm direitos garantidos pela LGPD em relação aos seus próprios dados: acesso, correção, portabilidade, eliminação e revogação do consentimento quando aplicável. O empregador precisa ter processos definidos para responder a essas solicitações dentro dos prazos previstos pela lei.
Transferência de dados a terceiros
Compartilhar dados de trabalhadores com terceiros, como seguradoras, operadoras de saúde, consultorias de RH e plataformas de benefícios, exige contratos de processamento de dados que garantam que os terceiros tratarão as informações com o mesmo padrão de proteção exigido pela LGPD.
LGPD, saúde ocupacional e dados sensíveis
A interseção entre LGPD e saúde ocupacional é um dos pontos mais delicados para o empregador. Laudos médicos, resultados de exames periódicos, prontuários do PCMSO e registros de afastamento são dados sensíveis de saúde que precisam ser tratados com base legal específica.
A NR-1 atualizada exige o Gerenciamento de Riscos Ocupacionais, que inclui dados individuais de saúde dos trabalhadores. Portanto, as empresas precisam garantir que o PGR e o PCMSO sejam gerenciados com controles de privacidade adequados, com acesso restrito apenas aos profissionais de saúde e de SST com necessidade legítima de consulta.
Além disso, o compartilhamento de dados de saúde com gestores de linha, sem justificativa técnica, é uma prática que viola a LGPD e pode gerar ações trabalhistas por discriminação, especialmente quando envolve doenças crônicas, condições de saúde mental ou deficiências.
LGPD e desligamento: o que fazer com os dados após o término do contrato
A LGPD não exige a eliminação imediata dos dados após o desligamento. O empregador deve reter os dados pelo tempo necessário para cumprir obrigações legais, como o prazo prescricional para ações trabalhistas (dois anos após o término do contrato) e obrigações previdenciárias e fiscais que podem exigir retenção por períodos mais longos.
Após o cumprimento das obrigações legais, os dados devem ser eliminados de forma segura ou anonimizados. Manter dados de ex-trabalhadores indefinidamente, sem finalidade legítima definida, é uma violação da LGPD sujeita a sanções da ANPD.
Conclusão
A LGPD nas relações de trabalho não é uma pauta exclusiva do jurídico ou do TI. É uma responsabilidade compartilhada entre RH, SST, compliance e liderança que exige processos revisados, políticas claras e cultura de respeito à privacidade dos trabalhadores.
Portanto, empresas que estruturam sua conformidade com a LGPD no contexto trabalhista protegem seus trabalhadores, reduzem passivos jurídicos e demonstram que a cultura organizacional positiva que pregam se estende ao tratamento responsável das informações mais sensíveis que cada trabalhador confiou à organização.
Perguntas frequentes sobre LGPD e Relações de trabalho:
Sim. A coleta de dados no processo seletivo, como currículo, documentos pessoais e resultados de testes, é tratamento de dados pessoais sujeito à LGPD. O empregador deve informar ao candidato quais dados são coletados, para qual finalidade e por quanto tempo serão retidos. Candidatos não aprovados têm direito de solicitar a eliminação de seus dados após o encerramento do processo, salvo se a empresa tiver base legal para mantê-los por período adicional, como banco de talentos com consentimento explícito do candidato.
Sim, desde que os trabalhadores sejam informados previamente sobre a política de monitoramento, o monitoramento seja proporcional ao interesse legítimo do empregador e os dados coletados sejam utilizados apenas para as finalidades declaradas. A ausência de informação prévia torna o monitoramento uma violação da LGPD e pode invalidar eventuais provas coletadas para fins disciplinares. A política de uso de recursos corporativos deve ser documentada e comunicada formalmente a todos os trabalhadores.
Essa é uma das questões mais debatidas da LGPD no contexto trabalhista. Dados biométricos são dados sensíveis, e o uso de consentimento como base legal é problemático pelo desequilíbrio de poder da relação de emprego. A interpretação mais segura é fundamentar o tratamento no legítimo interesse do empregador ou na execução do contrato, com transparência completa ao trabalhador sobre como os dados biométricos são coletados, armazenados e protegidos. A consulta à ANPD ou a assessoria jurídica especializada é recomendada antes da implementação.
A ANPD pode aplicar sanções que incluem advertência, multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão do banco de dados. Além das sanções administrativas, o descumprimento da LGPD no contexto trabalhista pode gerar ações individuais ou coletivas dos trabalhadores por danos morais decorrentes de vazamentos ou uso indevido de dados pessoais.
Toda plataforma de RH, benefícios, folha de pagamento ou treinamento que processa dados de trabalhadores em nome do empregador é um operador de dados nos termos da LGPD. O empregador, como controlador, é responsável por garantir que esses operadores ofereçam garantias suficientes de proteção dos dados. Portanto, os contratos com essas plataformas devem incluir cláusulas específicas de proteção de dados, e o empregador deve realizar due diligence sobre as práticas de segurança dos fornecedores antes de compartilhar dados dos trabalhadores.
