LGPD no RH: guia completo para tratamento de dados
A LGPD (Lei 13.709/2018) regula o tratamento de dados pessoais no Brasil, inclusive no RH. Como o setor concentra dados sensíveis (saúde, biometria, dado sindical), exige base legal adequada para cada tratamento, finalidade clara, segurança da informação, prazo de retenção definido e respeito aos direitos do titular. Dado biométrico — como o reconhecimento facial usado em controle de ponto — pede cuidado redobrado: template criptografado, controle de acesso e possibilidade de exclusão. Sanções por não conformidade vão até 2% do faturamento (limitado a R$ 50 milhões por infração).
Em resumo
- RH concentra dados pessoais e sensíveis (saúde, biometria).
- Cada tratamento precisa de base legal definida.
- Dado sensível tem proteção reforçada.
- Ciclo de vida: coleta → uso → retenção → descarte.
- Colaborador tem direitos (acesso, correção, portabilidade, exclusão).
- Sanções chegam a 2% do faturamento (limitado a R$ 50 mi por infração).
Por que a LGPD importa no RH
O RH é o setor da empresa que concentra o maior volume e a maior variedade de dados pessoais. Documentos de identidade, salários, dependentes, dados bancários, endereços, saúde, biometria, avaliações de desempenho, motivos de desligamento — tudo passa pelo RH. Muitos desses dados são sensíveis pela LGPD, com proteção reforçada.
Tratar esses dados sem base legal, sem segurança ou fora do prazo de retenção expõe a empresa a três tipos de risco: sanção regulatória (ANPD), ação judicial (do titular ou coletiva) e dano reputacional. As sanções administrativas chegam a 2% do faturamento (limitado a R$ 50 milhões por infração), além de bloqueio ou eliminação dos dados.
Dado pessoal x dado sensível
| Categoria | Exemplos no RH | Proteção |
|---|---|---|
| Dado pessoal comum | Nome, CPF, endereço, salário, matrícula, telefone | LGPD padrão |
| Dado pessoal sensível | Saúde (ASO, atestados, plano), biometria (facial, digital), dado sindical, origem étnica | Proteção reforçada — bases legais restritas |
| Dado de criança/adolescente | Dados de dependentes menores | Melhor interesse; regras específicas |
O reconhecimento facial usado em controle de ponto, por exemplo, trata dado biométrico e exige atenção especial: base legal adequada, template criptografado (não a foto), controle de acesso rigoroso e prazo de retenção.
Bases legais aplicáveis ao RH
A LGPD lista dez hipóteses de tratamento. As mais relevantes para o RH:
| Base legal | Uso típico no RH |
|---|---|
| Execução de contrato | Pagar salário, gerir jornada, conceder benefícios previstos |
| Cumprimento de obrigação legal | eSocial, FGTS, INSS, IR, retenção de documentos por prazo legal |
| Legítimo interesse | Prevenção a fraude, segurança da rede, controle de acesso — com balanceamento |
| Exercício regular de direito | Defesa em processos judiciais |
| Proteção da vida ou saúde | Emergências médicas no ambiente de trabalho |
| Consentimento | Uso limitado no RH pela assimetria da relação de trabalho |
Cuidado com o consentimento: na relação de trabalho há assimetria de poder que compromete o "livre" do consentimento. Muitos advogados preferem bases mais estáveis (obrigação legal, execução de contrato, legítimo interesse) sempre que possível.
Ciclo de vida do dado no RH
- Coleta — na admissão (documentos, biometria) e ao longo do vínculo (avaliações, ponto, saúde);
- Armazenamento — em sistemas com criptografia, controle de acesso e backup;
- Uso — para as finalidades declaradas (folha, benefícios, gestão, fiscalização);
- Compartilhamento — com fornecedores (folha, benefícios) via contrato de operador;
- Retenção — pelos prazos legais e contratuais aplicáveis;
- Descarte — eliminação segura ao fim do prazo, com log de que foi descartado.
Prazos de retenção comuns no RH
| Dado | Prazo de retenção sugerido | Base |
|---|---|---|
| Registro de ponto | 5 anos após o fim do vínculo | Prescrição trabalhista |
| Folha e recibos | Mínimo 5 anos (fiscal/trabalhista) | Prescrição |
| Documentos de admissão | Toda a duração do vínculo + prazo prescricional | Prova do vínculo |
| Biometria (template) | Durante o vínculo — descarte ao desligar | Finalidade cessou |
| Currículos (não contratados) | Prazo curto e definido (ex.: 1 ano) | Sem finalidade indefinida |
| Dados de saúde | Segundo NR-7 e outros regulamentos | SST |
Consulte apoio jurídico para definir prazos específicos da sua empresa; as sugestões acima são referências gerais.
Direitos do titular (colaborador)
A LGPD dá ao colaborador direitos que o RH precisa estar pronto para atender:
- Confirmação de que há tratamento;
- Acesso aos próprios dados;
- Correção de dados incompletos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários;
- Portabilidade dos dados;
- Informação sobre com quem os dados são compartilhados;
- Revogação do consentimento (quando essa foi a base);
- Revisão de decisões automatizadas (por exemplo, triagem por IA).
Recomenda-se ter um canal específico para o colaborador exercer esses direitos, com prazo de resposta definido (idealmente 15 dias).
Contratos com fornecedores
Praticamente todo sistema de RH é operado por um fornecedor (ponto, folha, ATS, plano de saúde). Cada um recebe dados pessoais dos seus colaboradores. Exija:
- Contrato de operador conforme LGPD (arts. 39 e 42);
- Cláusulas de segurança da informação;
- Onde os dados residem (país);
- Política de retenção alinhada com a sua;
- Comunicação obrigatória de incidentes;
- Auditoria periódica ou certificações (ISO 27001).
O que fazer em caso de incidente
Se houver vazamento, uso indevido ou incidente relevante:
- Contenção imediata (bloquear acesso, isolar sistema);
- Avaliação do impacto (que dados, quantas pessoas, riscos);
- Comunicação à ANPD em prazo razoável;
- Comunicação aos titulares afetados;
- Documentação do incidente e das medidas tomadas;
- Revisão para evitar recorrência.
Boas práticas essenciais no RH
- Definir base legal e finalidade para cada tratamento;
- Coletar o mínimo necessário (minimização);
- Criptografar em trânsito e em repouso;
- Restringir acesso por perfil de necessidade;
- Registrar logs de acesso a dados sensíveis;
- Definir prazo de retenção e realizar descarte seguro;
- Informar o titular no momento da coleta;
- Ter um DPO ou responsável identificado;
- Manter registro de operações (art. 37 da LGPD);
- Treinar a equipe;
- Escolher fornecedores que demonstrem conformidade.
