A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) trouxe uma transformação profunda na forma como empresas lidam com informações pessoais. No setor de Recursos Humanos, essa responsabilidade ganha ainda mais relevância, considerando que o departamento lida diariamente com dados que podem impactar diretamente a privacidade, a dignidade e os direitos dos colaboradores.

Entre esses dados, estão os chamados dados pessoais sensíveis, que exigem cuidados rigorosos, tanto na coleta quanto no armazenamento, uso e descarte. A correta gestão dessas informações não apenas preserva a segurança dos titulares, como também protege a empresa contra riscos legais, trabalhistas e reputacionais.

O que a LGPD entende como dados sensíveis

De acordo com a legislação, dados sensíveis são aqueles que revelam informações sobre origem racial ou étnica, convicções religiosas, opiniões políticas, filiação sindical, dados referentes à saúde, vida sexual, informações genéticas ou biométricas quando vinculadas a uma pessoa natural.

No ambiente do RH, essa definição se materializa em diversos documentos e registros, como exames admissionais, prontuários ocupacionais, dados biométricos utilizados para controle de ponto, informações sobre dependentes para plano de saúde, entre outros. Tratá-los de forma inadequada pode gerar não apenas desconforto ou constrangimento, mas também sérios prejuízos legais e financeiros.

Bases legais para tratamento de dados sensíveis no RH

A LGPD estabelece que o tratamento de dados sensíveis deve ser fundamentado em hipóteses legais muito bem definidas, especialmente no artigo 11. No âmbito trabalhista, as principais são:

• Cumprimento de obrigações legais ou regulatórias;
• Execução de políticas públicas determinadas em lei;
• Necessidade para a execução de contrato de trabalho ou de procedimentos preliminares;
• Proteção da vida ou da integridade física do titular ou de terceiros;
• Consentimento do titular, utilizado apenas quando nenhuma das outras bases se aplica.

O uso do consentimento deve ser tratado com cautela. Sempre que houver uma base legal mais robusta e aplicável, ela deve ser priorizada, evitando a dependência do consentimento, que pode ser revogado a qualquer momento.

Diretrizes para proteger dados sensíveis no RH

Uma gestão eficiente de dados sensíveis começa pela organização e controle das informações que transitam pelo setor de Recursos Humanos. Para isso, recomenda-se:

1. Mapeamento dos dados sensíveis
É indispensável identificar quais dados são coletados em cada etapa da jornada do colaborador, desde o processo seletivo até o desligamento. Esse mapeamento permite entender finalidades, riscos e obrigações associadas.

2. Controle rigoroso de acessos
O acesso a dados sensíveis deve ser restrito exclusivamente aos profissionais que, de fato, necessitam dessas informações para desempenhar suas funções. Adoção de controles como autenticação multifator, senhas robustas e restrição por perfil é fundamental.

3. Medidas técnicas de segurança
O uso de criptografia, armazenamento em servidores seguros, proteção contra malware, firewalls e monitoramento constante são práticas indispensáveis. Informações sensíveis jamais devem ser mantidas em dispositivos pessoais, planilhas abertas ou plataformas sem certificação de segurança.

4. Políticas internas claras e aplicáveis
A elaboração de uma Política de Proteção de Dados específica para o setor de RH é altamente recomendada. Essa política deve estabelecer diretrizes sobre coleta, uso, compartilhamento, armazenamento e descarte, além de contar com termos de confidencialidade assinados pelos responsáveis.

5. Gestão de consentimento, quando aplicável
Nos casos em que o consentimento for a base legal adequada, este deve ser obtido de forma expressa, específica, destacada e documentada. O titular deve ser informado sobre a finalidade do tratamento, tempo de retenção, possibilidade de revogação e seus direitos.

Armazenamento seguro e prazos de retenção

O armazenamento seguro de dados sensíveis envolve a utilização de plataformas com certificações como ISO 27001 ou SOC 2, além de servidores protegidos com criptografia em repouso e em trânsito, e sistemas com logs de acesso e backup automático.

Quanto aos prazos, algumas informações possuem retenção definida pela legislação trabalhista. Por exemplo, dados de saúde ocupacional devem ser mantidos por até 20 anos, conforme normas regulamentadoras como a NR 7 e a NR 9. Já currículos e exames admissionais de candidatos não contratados podem ser armazenados por períodos mais curtos, geralmente entre 6 a 12 meses, desde que fundamentados em uma base legal adequada.

Finalizada a necessidade ou obrigação legal, é indispensável promover o descarte seguro ou a anonimização dos dados, evitando o acúmulo indevido de informações sensíveis.

Consequências do descuido no tratamento de dados sensíveis

As sanções previstas na LGPD incluem multas que podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. Além disso, há riscos de indenizações por danos morais, bloqueio de operações envolvendo dados, exigências de adequação impostas pela Autoridade Nacional de Proteção de Dados (ANPD) e impactos reputacionais que podem comprometer a confiança de colaboradores, clientes e parceiros.

A proteção de dados sensíveis é uma obrigação ética, legal e estratégica

Cuidar dos dados pessoais sensíveis no RH vai muito além do cumprimento da lei. É uma demonstração clara de respeito aos direitos dos colaboradores e de comprometimento com boas práticas corporativas.

Se sua empresa busca apoio para revisar os processos de tratamento de dados e implementar soluções jurídicas e tecnológicas alinhadas à LGPD, entre em contato com um de nossos especialistas. Estamos prontos para orientar sua organização na construção de uma cultura de privacidade, segurança e conformidade.