Em resumo
- RH concentra dados pessoais e sensíveis (saúde, biometria).
- Cada tratamento precisa de base legal definida.
- Dado sensível tem proteção reforçada.
- Ciclo de vida: coleta → uso → retenção → descarte.
- Colaborador tem direitos (acesso, correção, portabilidade, exclusão).
- Sanções chegam a 2% do faturamento (limitado a R$ 50 mi por infração).
Por que a LGPD importa no RH
O RH é o setor da empresa que concentra o maior volume e a maior variedade de dados pessoais. Documentos de identidade, salários, dependentes, dados bancários, endereços, saúde, biometria, avaliações de desempenho, motivos de desligamento — tudo passa pelo RH. Muitos desses dados são sensíveis pela LGPD, com proteção reforçada.
Tratar esses dados sem base legal, sem segurança ou fora do prazo de retenção expõe a empresa a três tipos de risco: sanção regulatória (ANPD), ação judicial (do titular ou coletiva) e dano reputacional. As sanções administrativas chegam a 2% do faturamento (limitado a R$ 50 milhões por infração), além de bloqueio ou eliminação dos dados.
Bases legais aplicáveis ao RH
A LGPD lista dez hipóteses de tratamento. As mais relevantes para o RH:
| Base legal | Uso típico no RH |
|---|---|
| Execução de contrato | Pagar salário, gerir jornada, conceder benefícios previstos |
| Cumprimento de obrigação legal | eSocial, FGTS, INSS, IR, retenção de documentos por prazo legal |
| Legítimo interesse | Prevenção a fraude, segurança da rede, controle de acesso — com balanceamento |
| Exercício regular de direito | Defesa em processos judiciais |
| Proteção da vida ou saúde | Emergências médicas no ambiente de trabalho |
| Consentimento | Uso limitado no RH pela assimetria da relação de trabalho |
Cuidado com o consentimento: na relação de trabalho há assimetria de poder que compromete o "livre" do consentimento. Muitos advogados preferem bases mais estáveis (obrigação legal, execução de contrato, legítimo interesse) sempre que possível.
Ciclo de vida do dado no RH
- Coleta — na admissão (documentos, biometria) e ao longo do vínculo (avaliações, saúde);
- Armazenamento — em sistemas com criptografia, controle de acesso e backup;
- Uso — para as finalidades declaradas (folha, benefícios, gestão, fiscalização);
- Compartilhamento — com fornecedores (folha, benefícios) via contrato de operador;
- Retenção — pelos prazos legais e contratuais aplicáveis;
- Descarte — eliminação segura ao fim do prazo, com log de que foi descartado.
Prazos de retenção comuns no RH
Consulte apoio jurídico para definir prazos específicos da sua empresa; as sugestões acima são referências gerais.
Direitos do titular (colaborador)
A LGPD dá ao colaborador direitos que o RH precisa estar pronto para atender:
- Confirmação de que há tratamento;
- Acesso aos próprios dados;
- Correção de dados incompletos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários;
- Portabilidade dos dados;
- Informação sobre com quem os dados são compartilhados;
- Revogação do consentimento (quando essa foi a base);
- Revisão de decisões automatizadas (por exemplo, triagem por IA).
Recomenda-se ter um canal específico para o colaborador exercer esses direitos, com prazo de resposta definido (idealmente 15 dias).
Contratos com fornecedores
Praticamente todo sistema de RH é operado por um fornecedor (ponto, folha, ATS, plano de saúde). Cada um recebe dados pessoais dos seus colaboradores. Exija:
- Contrato de operador conforme LGPD (arts. 39 e 42);
- Cláusulas de segurança da informação;
- Onde os dados residem (país);
- Política de retenção alinhada com a sua;
- Comunicação obrigatória de incidentes;
- Auditoria periódica ou certificações (ISO 27001).
O que fazer em caso de incidente
Se houver vazamento, uso indevido ou incidente relevante:
- Contenção imediata (bloquear acesso, isolar sistema);
- Avaliação do impacto (que dados, quantas pessoas, riscos);
- Comunicação à ANPD em prazo razoável;
- Comunicação aos titulares afetados;
- Documentação do incidente e das medidas tomadas;
- Revisão para evitar recorrência.
Boas práticas essenciais no RH
- Definir base legal e finalidade para cada tratamento;
- Coletar o mínimo necessário (minimização);
- Criptografar em trânsito e em repouso;
- Restringir acesso por perfil de necessidade;
- Registrar logs de acesso a dados sensíveis;
- Definir prazo de retenção e realizar descarte seguro;
- Informar o titular no momento da coleta;
- Ter um DPO ou responsável identificado;
- Manter registro de operações (art. 37 da LGPD);
- Treinar a equipe;
- Escolher fornecedores que demonstrem conformidade.
Perguntas frequentes
Por quanto tempo posso guardar os dados de jornada?
Deve-se definir um prazo de retenção compatível com as finalidades e as obrigações legais. Uma referência comum é 5 anos após o fim do vínculo, por causa da prescrição trabalhista, mas o prazo específico deve ser definido caso a caso. Depois, os dados devem ser descartados com segurança.
Quais são as sanções por descumprir a LGPD?
Advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração), publicização da infração, bloqueio ou eliminação dos dados, suspensão parcial ou total do banco de dados. Além do risco de ação judicial pelos titulares.
Como tratar currículos de candidatos não contratados?
Defina prazo de retenção específico (comumente 6 a 12 meses) e descarte após. Informe ao candidato o prazo e a finalidade no momento da coleta. Reter indefinidamente "para futuras oportunidades" sem base legal é irregular.
Fornecedor de software de RH pode acessar meus dados?
Sim, como operador, para prestar o serviço contratado. Deve estar formalizado em contrato de operador (arts. 39 e 42 da LGPD), com cláusulas de segurança, comunicação de incidentes e restrição de uso à finalidade acordada.
Posso monitorar o e-mail e o computador dos colaboradores?
Com transparência prévia e finalidade legítima (segurança da rede, uso profissional), sim, mas dentro de limites. A LGPD e a intimidade pedem que o monitoramento seja proporcional e não invasivo. Regulamente em política interna assinada.
