Lgpd no Rh: Guia Completo de Conformidade e Riscos

A LGPD exige que empresas tratem dados de candidatos, colaboradores e ex-colaboradores com base legal definida, finalidade específica e prazo de guarda limitado do primeiro currículo recebido até anos depois do desligamento. Isso vale para dado bancário, biometria de ponto, atestado médico e avaliação de desempenho, todos manuseados rotineiramente pelo RH.

Na prática, o RH costuma ser tratado como executor de política de privacidade, não como seu autor. Isso cria um ponto cego: times de gestão de pessoas operam sistemas de busca automatizada de candidatos, folha em nuvem e biometria muitos dos quais empregam algoritmos de triagem ou pontuação automatizada, o que pode configurar uso de sistema de IA em contexto de emprego, sujeito a regras adicionais de transparência e supervisão humana, sem saber qual base legal ampara cada tratamento, nem por quanto tempo o dado pode ficar armazenado.

Esse gap tem custo duplo e, mais importante, um custo humano direto: o uso indevido de dados de saúde, biometria ou desempenho pode causar dano concreto à dignidade, à privacidade e à empregabilidade do trabalhador. Do ponto de vista legal, a ANPD já fiscaliza e sanciona empresas por incidentes envolvendo dados de trabalhadores, e a Justiça do Trabalho vem reconhecendo dano moral por uso indevido de dados pessoais do empregado, reforçando que a proteção de dados no RH é, antes de tudo, garantia de um direito fundamental do titular, e não apenas um risco a ser administrado.

Este guia mapeia o ciclo de vida completo do dado do colaborador, com bases legais aplicáveis, riscos concretos por etapa e uma referência prática de prazos de retenção.

Resumo

• O RH concentra dados sensíveis (saúde, biometria, dados bancários, dependentes) em volume superior à maioria das outras áreas da empresa, fora do core business digital.
• A LGPD não elimina obrigações da CLT: execução de contrato e cumprimento de obrigação legal continuam sendo as bases legais predominantes no tratamento trabalhista.
• Currículos de candidatos não aprovados, exames admissionais e biometria de ponto são pontos de risco recorrentes por falta de prazo de descarte definido.
• O risco não é só administrativo: ações trabalhistas por dano moral relacionadas a uso indevido de dados pessoais do empregado formam um segundo front de exposição jurídica.
• Não existe prazo único de retenção pós-desligamento, o prazo varia por tipo de documento (trabalhista, fiscal, previdenciário) e deve ser seguido rigorosamente para evitar guarda desnecessária.

Por que o RH é uma das áreas de maior risco na LGPD?

O RH trata o maior volume de dados sensíveis da empresa, saúde, biometria e dados financeiros em um fluxo contínuo que vai da candidatura ao pós-desligamento, o que o torna prioridade de auditoria e alvo frequente de reclamações à ANPD.

Diferente de áreas comerciais ou de marketing, cujo tratamento de dados é geralmente pontual e restrito a leads e clientes, o RH mantém um relacionamento contínuo e multifacetado com o titular dos dados, o próprio colaborador. Isso inclui dados pessoais comuns como CPF, endereço e dados bancários para folha, além de dados sensíveis como atestados médicos, resultado de exames e biometria de ponto, categorias que exigem tratamento e bases legais diferenciados conforme o art. 5º, I e II, e o art. 11 da LGPD.

A distinção entre dado pessoal e dado sensível importa aqui: um dado sensível (saúde, biometria, dado genético) exige tratamento mais restrito e justificativa mais específica, conforme o art. 11 da Lei nº 13.709/2018. O risco do RH é duplo de um lado, a exposição a sanções da ANPD; de outro, ações trabalhistas por dano moral movidas por ex-colaboradores ou candidatos que se sentiram lesados no uso de seus dados.

Em projetos de adequação, o maior ponto de falha não é a ausência de política de privacidade é a divergência entre o que a política diz e o que o sistema de RH realmente faz. Times de RH frequentemente não sabem responder “por quanto tempo guardamos isso” porque o prazo nunca foi configurado no sistema de busca automatizada de candidatos ou na folha.

Quais bases legais o RH pode usar para tratar dados de colaboradores?

A execução do contrato de trabalho e o cumprimento de obrigação legal (CLT, e-Social, INSS) são as bases legais mais usadas pelo RH, mas nem todo tratamento se enquadra nelas avaliação de desempenho e comunicação interna, por exemplo, exigem análise caso a caso, conforme orientações da ANPD sobre agentes de tratamento.

A base “execução de contrato” cobre o essencial da relação de trabalho: pagamento de salário, cadastro em sistemas obrigatórios, controle de jornada. Já “cumprimento de obrigação legal” ampara o envio de dados ao e-Social, ao INSS e à Receita Federal, obrigações que existem independentemente da vontade do empregado.

O consentimento, por outro lado, é frequentemente mal utilizado. Como o colaborador está em relação de subordinação com o empregador, a validade de um consentimento “livre” nesse contexto é questionável, a ANPD já sinalizou isso em orientações setoriais. Por isso, para a maioria dos tratamentos de RH, buscar outra base legal (execução de contrato, obrigação legal ou legítimo interesse) costuma ser mais seguro do que depender de consentimento.

Legítimo interesse pode amparar, por exemplo, comunicação interna corporativa ou análise de produtividade agregada desde que passe por teste de proporcionalidade, não crie expectativa de privacidade violada, evite a criação de perfis discriminatórios e assegure ao colaborador o direito de solicitar revisão humana sempre que a análise subsidiar decisões automatizadas que o afetem (art. 20, LGPD). Para aprofundar esse mapeamento, veja o guia de bases legais da LGPD para empresas.

Como aplicar a LGPD no recrutamento e seleção?

No recrutamento, o dado do candidato deve ser coletado com finalidade clara, descartado quando o processo termina (se não aprovado) e protegido contra uso por terceiros não autorizados, incluindo testes psicológicos e verificações de antecedentes.

Currículos de candidatos não contratados são um dos pontos de maior negligência prática. É comum que bancos de talentos guardem esses dados indefinidamente, “só para o caso de surgir uma vaga futura” o que viola o princípio da necessidade da LGPD se não houver base legal e prazo definidos para essa retenção.

Verificação de antecedentes e checagem de redes sociais também exigem cuidado redobrado: o RH precisa ter finalidade legítima e proporcional para essa checagem, evitando decisões discriminatórias baseadas em dados que não têm relação com a função. Da mesma forma, sistemas de triagem automatizada de currículos (ATS) devem ser auditados periodicamente quanto a vieses discriminatórios (gênero, raça, idade, origem), e o candidato tem direito a solicitar informações claras sobre os critérios usados na decisão, incluindo revisão humana quando aplicável (art. 20, LGPD). Quando essas etapas são apoiadas por ferramentas automatizadas de triagem ou pontuação de candidatos, aplica-se ainda o art. 20 da LGPD, que garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado, o que exige supervisão humana efetiva no processo, e não apenas formal. Testes psicométricos frequentemente capturam dados sensíveis (saúde mental, características pessoais) e devem ser tratados com o mesmo rigor de um dado de saúde.

A pesquisa PAA “A LGPD se aplica a currículos de candidatos?” tem resposta afirmativa: currículo é dado pessoal desde o momento da coleta, mesmo antes da efetivação do vínculo empregatício.

Exames admissionais e periódicos podem ser tratados como dado sensível?

Sim, resultados de exames médicos são dado sensível de saúde pela LGPD, exigindo controles técnicos de acesso restrito (como controle de acesso baseado em papel, criptografia em repouso e trilha de auditoria), base legal específica (cumprimento de obrigação legal ou regulatória) e vedação ao uso para fins discriminatórios, conforme regulamentação do Ministério do Trabalho e Emprego sobre saúde ocupacional.

O Atestado de Saúde Ocupacional (ASO) é o exemplo mais claro: a empresa precisa saber apenas se o colaborador está “apto” ou “inapto” para a função, o diagnóstico clínico detalhado pertence ao sigilo médico, não ao RH. Guardar o laudo completo no prontuário funcional, acessível a qualquer gestor, é uma prática de risco alto.

Compartilhamento de dados de saúde com convênios médicos e seguradoras também precisa de base legal específica, contrato de operação de dados formalizado com esses terceiros e uso de canais seguros (criptografia em trânsito) para a transmissão dessas informações. O RH não pode simplesmente repassar essas informações sem mapear o fluxo e documentar a finalidade.

O que muda no monitoramento de colaboradores com a LGPD?

Monitoramento de e-mail corporativo, geolocalização de veículos e câmeras no ambiente de trabalho pode ser admitido apenas quando estritamente necessário e proporcional à finalidade pretendida, respeitando o direito à privacidade do trabalhador (art. 5º, X e XII, CF; art. 2º, LGPD). Exige-se transparência prévia, finalidade legítima, adoção do meio menos invasivo disponível e avaliação de impacto sobre a dignidade e a expectativa de privacidade do colaborador. Monitoramento oculto, desproporcional ou mais amplo do que o necessário viola direitos fundamentais, além de gerar risco jurídico perante a ANPD e a Justiça do Trabalho.

A política de uso aceitável de recursos corporativos precisa ser comunicada de forma clara antes de qualquer monitoramento começar. Isso vale para acesso a e-mail institucional, uso de VPN corporativa e ferramentas de produtividade, o colaborador precisa saber, de antemão, o que é monitorado e com que finalidade.

Biometria no controle de ponto é um caso à parte por envolver dado sensível biométrico. Exige comunicação clara, medida de segurança proporcional ao risco e a garantia obrigatória de alternativa não biométrica, inclusive para pessoas com deficiência ou condições físicas que impeçam a captura, para quem não quiser ou não puder fornecer a biometria, sob pena de discriminação indireta e violação ao princípio da não discriminação (art. 6º, IX, LGPD). O tema de home office e BYOD (uso de dispositivo pessoal para trabalho) amplia essa discussão: monitorar um dispositivo próprio do colaborador levanta questões de proporcionalidade ainda mais delicadas. Para aprofundar esse tema específico, veja monitoramento de funcionários e privacidade digital. Ciclo de vida do dado do colaborador

Quanto tempo a empresa pode guardar dados após o desligamento?

Não existe um prazo único: dados trabalhistas seguem prazos legais específicos (FGTS, prescrição trabalhista de até 5 anos, obrigações fiscais), e após o vencimento desses prazos o dado deve ser eliminado ou anonimizado, conforme o art. 7º, XXIX, da Constituição Federal, que fixa a prescrição trabalhista.

A regra prática mais citada é: 5 anos de prescrição durante a vigência do contrato, e até 2 anos após a extinção do vínculo para ajuizamento de ação trabalhista. Isso não significa, porém, que todo documento tenha esse mesmo prazo, obrigações fiscais e previdenciárias (como recolhimentos ao INSS) têm prazos próprios, que podem ser mais longos.

Categoria de dado	Prazo de retenção	Base normativa
Documentos trabalhistas (contrato, ponto)	Até 5 anos durante vínculo + 2 anos após	CF, art. 7º, XXIX
Documentos fiscais (folha, INSS)	Geralmente 5 a 10 anos	Legislação previdenciária e fiscal
Currículos não aprovados	Sem prazo legal fixo — deve ser definido internamente	Princípio da necessidade, LGPD
Exames admissionais/ASO	Vinculado ao prazo de guarda do prontuário ocupacional	Normas regulamentadoras de saúde ocupacional

Manter dados “por precaução”, além do prazo estritamente necessário, é uma prática comum que aumenta a superfície de risco sem justificativa legal correspondente, e é justamente esse excesso que costuma aparecer em relatórios de incidentes de vazamento envolvendo dados de RH.

Quem responde pela LGPD dentro da estrutura de RH?

A responsabilidade legal é da empresa como controladora, mas operacionalmente o RH deve ter um ponto focal de privacidade que trabalhe junto ao DPO/encarregado, especialmente para atender solicitações de titulares, colaboradores e ex-colaboradores que exercem seus direitos previstos na LGPD.

O DPO (encarregado de dados) responde pela estratégia geral de privacidade da empresa, mas não tem, na maioria dos casos, capacidade operacional para atender sozinho cada solicitação vinda do RH, pedido de acesso a dados, correção de cadastro ou exclusão após desligamento. Por isso, o RH precisa de um interlocutor técnico interno que entenda o fluxo de dados dos próprios sistemas que opera.

Treinamento periódico da equipe de RH em boas práticas de privacidade, e não apenas do time jurídico, é um dos itens mais recomendados por consultorias especializadas para reduzir incidentes recorrentes.

Empresas menores costumam enfrentar essa lacuna de forma mais aguda, por não terem estrutura dedicada de compliance. Para esse cenário, vale consultar como implementar a LGPD na prática em pequenas e médias empresas.

Perguntas Frequentes

A LGPD se aplica a currículos de candidatos?
Sim. Currículo é dado pessoal desde a coleta, mesmo antes da contratação. A empresa deve definir finalidade clara, prazo de retenção e critério de descarte para candidatos não aprovados.

O RH pode usar biometria dos funcionários?
Pode, para controle de ponto ou acesso, desde que haja transparência prévia, medida de segurança compatível com a sensibilidade do dado biométrico e, idealmente, alternativa não biométrica disponível.

Quanto tempo a empresa pode guardar dados de ex-funcionários?
Depende do tipo de documento. Dados trabalhistas seguem a prescrição de até 5 anos durante o contrato e 2 anos após a extinção; dados fiscais e previdenciários têm prazos próprios, geralmente mais longos.

Quem é o responsável pela LGPD dentro do RH?
A empresa, como controladora, responde legalmente. Operacionalmente, o RH deve ter um ponto focal de privacidade articulado com o DPO/encarregado para tratar solicitações de titulares e revisar processos internos.

Exame admissional é dado sensível pela LGPD?
Sim. Resultado de exame médico é dado sensível de saúde, com acesso restrito e vedação ao uso para fins discriminatórios. O RH deve saber apenas o status “apto/inapto”, não o diagnóstico clínico completo.

A adequação da LGPD no RH não se resolve com uma política de privacidade genérica publicada no site institucional exige mapeamento de cada fluxo de dado, revisão de prazos de retenção e alinhamento constante entre RH, jurídico e DPO. A Mabex apoia empresas nesse diagnóstico prático, traduzindo a lei em processo operacional para quem lida com o dado do colaborador todos os dias.

Fontes:

Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018
ANPD — Relatórios de Fiscalização e Sanções, gov.br
ANPD — Guia Orientativo para Definições dos Agentes de Tratamento, gov.br
Consolidação das Leis do Trabalho (CLT) — Decreto-Lei nº 5.452/1943
Constituição Federal, Art. 7º — Direitos dos Trabalhadores
Ministério do Trabalho e Emprego (MTE), gov.br
Tribunal Superior do Trabalho (TST)
Conselho Nacional de Justiça (CNJ) — Painel de Estatísticas
ABNT NBR ISO/IEC 27701 — Extensão da ISO/IEC 27001/27002 para Gestão de Privacidade da Informação (PIMS)
ABRH Brasil — Associação Brasileira de Recursos Humanos
IBM Cost of a Data Breach Report
IAPP — International Association of Privacy Professionals
Instituto Nacional do Seguro Social (INSS), gov.br