LGPD e RH: o que sua empresa precisa saber

Quando a LGPD entrou em vigor, boa parte das empresas olhou primeiro para o cliente: consentimento no site, política de privacidade, banner de cookies. O RH ficou para depois.

O problema é que o RH é, em muitas empresas, a área que trata o maior volume de dado sensível. Ele guarda documento, endereço, dado bancário, atestado médico, avaliação de desempenho, resultado de pesquisa de clima e, em alguns casos, biometria.

Consentimento quase nunca é a base certa

Esse é o erro mais comum, e ele começa com boa intenção: pedir autorização assinada para tudo.

Na relação de trabalho, consentimento é uma base frágil, porque existe subordinação. É difícil sustentar que a manifestação foi livre quando quem pede é o empregador e quem concede é o empregado. Além disso, consentimento pode ser revogado a qualquer momento, e a empresa não pode simplesmente parar de processar a folha porque alguém revogou.

Na prática, as bases mais comuns no RH são outras duas: a execução do contrato de trabalho, prevista no artigo 7º, inciso V, e o cumprimento de obrigação legal ou regulatória, no inciso II. É por elas que se sustenta processar folha, recolher encargos, cumprir exigências trabalhistas e previdenciárias.

Legítimo interesse existe, mas exige teste

Para tratamentos que não cabem nas duas anteriores, como análises de desempenho e algumas ações de gestão, o legítimo interesse é uma base válida.

Ela não é, porém, um curinga. O legítimo interesse exige um exercício de balanceamento: a empresa precisa demonstrar que a finalidade é legítima, que o tratamento é necessário para alcançá-la e que o interesse dela não se sobrepõe aos direitos e liberdades do colaborador. Esse raciocínio precisa estar documentado, não só ter sido feito de cabeça.

Recrutamento é o ponto mais esquecido

Currículo de candidato é dado pessoal. E candidato que não foi contratado não tem contrato de trabalho para servir de base legal.

Duas perguntas costumam expor o problema. Por quanto tempo a empresa guarda os currículos que recebeu? E o que exatamente ela faz com o banco de talentos que acumulou nos últimos cinco anos? Se a resposta for indefinidamente e não sei, existe um passivo ali.

Dado sensível pede cuidado redobrado

Atestado médico, informação de saúde ocupacional, dado biométrico de ponto e informação sindical entram na categoria de dado pessoal sensível, com regime próprio na lei.

Isso muda o padrão de acesso. Não basta a informação estar no sistema: é preciso saber quem consegue ver, por qual motivo, e conseguir provar isso depois. Controle de acesso por perfil deixa de ser conveniência e vira exigência.

Direitos do titular valem para quem trabalha na empresa

Colaborador é titular de dados como qualquer outra pessoa. Ele pode pedir acesso, correção, portabilidade e eliminação, e a empresa precisa ter um caminho claro para receber e responder esse pedido.

Na prática isso significa duas coisas: existir um canal conhecido internamente, normalmente com o encarregado pelo tratamento de dados, e existir prazo e responsável definidos. Um pedido que se perde entre o RH e o jurídico é um problema em formação.

Por onde começar

O primeiro passo não é comprar ferramenta, é fazer o inventário: quais dados de pessoas a empresa trata, onde eles estão, quem acessa, por quanto tempo ficam e sob qual base legal.

Esse mapa costuma revelar mais do que qualquer auditoria. Ele mostra as planilhas paralelas, os grupos de mensagem com foto de documento, o acesso de alguém que mudou de área há dois anos e o backup que ninguém sabia que existia.

Uma nota sobre fiscalização

A ANPD tem atuado de forma gradual, orientando antes de aplicar sanção, com níveis de penalidade proporcionais à gravidade. Isso dá margem para se organizar, mas não é motivo para adiar.

O risco relevante para o RH, na maioria dos casos, não é a multa da autoridade. É o incidente: uma base de dados de colaboradores exposta, uma informação de saúde que circulou onde não devia, uma reclamação trabalhista que vira também um processo de proteção de dados.