Política LGPD para Empregados — Brasil

A Política LGPD para Empregados é o documento trabalhista utilizado no Brasil com base na Lei 13.709/2018 (LGPD) Art. 7°.

No contexto trabalhista, a relação empregador-empregado é uma das que gera maior volume e variedade de dados pessoais tratados — dados de identificação (CPF, RG, data de nascimento, endereço), dados financeiros (salário, conta bancária, dependentes para IR), dados de saúde (atestados médicos, laudos do PCMSO — Programa de Controle Médico de Saúde Ocupacional, dados de plano de saúde), dados biométricos (ponto eletrônico com impressão digital ou reconhecimento facial — dados sensíveis nos termos da LGPD Art. 5°, II), dados de geolocalização (rastreamento de veículos, aplicativos de teletrabalho), e dados relativos à vida profissional (avaliações de desempenho, feedbacks, registros disciplinares). A LGPD impõe ao controlador (empresa) obrigações específicas de transparência, segurança, minimização e respeito aos direitos dos titulares em relação a todos esses dados.

A ANPD (Autoridade Nacional de Proteção de Dados), criada pela Lei 13.853/2019 e estruturada pelo Decreto 10.474/2020, é o órgão federal responsável por regulamentar e fiscalizar a LGPD. A ANPD publicou a Resolução CD/ANPD 2/2022 (regulamentação do processo administrativo sancionador), a Resolução CD/ANPD 4/2023 (regulamentação simplificada para agentes de tratamento de pequeno porte) e diversas notas técnicas sobre temas específicos. As sanções administrativas previstas no Art. 52 da LGPD incluem: advertência (com prazo para adoção de medidas corretivas); multa de até 2% do faturamento do último exercício, limitada a R$ 50 milhões por infração; publicização da infração (que gera dano reputacional significativo); bloqueio ou eliminação dos dados pessoais a que se refere a infração; e suspensão temporária ou proibição total das atividades de tratamento. A Política LGPD para Empregados é um dos principais mecanismos de demonstração de conformidade com o dever de transparência (LGPD Art. 6°, VI) e com o princípio da finalidade (Art. 6°, I — tratamento apenas para finalidades legítimas, específicas e informadas ao titular).

O Decreto 10.240/2020 e a Nota Técnica ANPD 01/2021 sobre bases legais no contexto das relações de trabalho esclarecem que o empregador pode tratar os dados pessoais dos empregados com as seguintes bases legais: cumprimento de obrigação legal ou regulatória (LGPD Art. 7°, II — dados de admissão, eSocial, RAIS, CAGED, PCMSO, PPRA, FGTS, INSS); execução de contrato (Art. 7°, V — dados necessários para execução do contrato de trabalho: pagamento de salário, benefícios, férias); legítimo interesse do controlador (Art. 7°, IX — dados de monitoramento de segurança, avaliações de desempenho, gestão de riscos); e, para dados sensíveis, as hipóteses específicas do Art. 11° (saúde — mediante autorização expressa do médico do trabalho; biometria — consentimento do empregado ou obrigação legal).

A Política LGPD para Empregados no Brasil é necessária para toda empresa com empregados celetistas, pois toda relação de trabalho gera tratamento de dados pessoais desde o recrutamento até o arquivamento pós-rescisão. As situações que tornam a implementação mais urgente são as seguintes.

Empresas que utilizam biometria no controle de ponto: O registro de ponto por impressão digital, reconhecimento facial ou leitura de íris é tratamento de dado biométrico (LGPD Art. 5°, II — dado sensível). Para utilizar biometria no controle de ponto, a empresa precisa de base legal específica do LGPD Art. 11° — que pode ser o consentimento do empregado (revogável a qualquer momento) ou a proteção da vida e da integridade física (quando há justificativa de segurança). A ANPD tem indicado, em suas orientações, que o consentimento é a base mais adequada para biometria trabalhista, mas reconhece que o desequilíbrio de poder na relação de emprego pode comprometer a voluntariedade do consentimento — o que torna a implementação uma área sensível que exige orientação jurídica especializada.

Empresas com programas de saúde e bem-estar dos empregados: Empresas que oferecem plano de saúde, seguro de vida, programas de saúde mental, aplicativos de bem-estar, exames médicos periódicos (PCMSO — NR-7) e laudos de capacidade para o trabalho tratam dados de saúde — categoria de dado sensível (LGPD Art. 5°, II) sujeita a regime jurídico mais restritivo (LGPD Art. 11°). A base legal mais adequada é o cumprimento de obrigação legal (NR-7 — PCMSO obrigatório) para os exames ocupacionais, e o consentimento específico para programas voluntários de saúde e bem-estar. Os dados de saúde dos empregados não podem ser usados para discriminação (CF Art. 7°, XXX e Lei 9.029/1995).

Empresas com monitoramento de sistemas e localização: Empresas que monitoram o uso de computadores, e-mails corporativos, navegação na internet, aplicativos de trabalho, ou que rastreiam a localização de empregados (via GPS em veículos ou dispositivos móveis) tratam dados pessoais cujo regime jurídico é delicado. O TST reconhece o direito do empregador de monitorar equipamentos corporativos desde que o empregado seja previamente informado — e essa informação é exatamente o que a Política LGPD para Empregados formaliza. Sem a informação prévia documentada, o monitoramento pode ser questionado como violação da privacidade do empregado (CF Art. 5°, X e XII).

Empresas com compartilhamento de dados com terceiros: Empresas que compartilham dados de empregados com: folha de pagamento terceirizada, planos de saúde e odontológico, convênios de benefícios (vale-refeição, vale-transporte, farmácias), sindicatos, eSocial/Receita Federal, e-Social e INSS, ou empresas do mesmo grupo econômico, precisam informar aos empregados sobre esses compartilhamentos e demonstrar a base legal adequada para cada um. A Nota Técnica ANPD 01/2021 esclarece que o compartilhamento com terceiros para cumprimento de obrigação legal (eSocial, CAGED, RAIS) tem base no Art. 7°, II, e não exige consentimento adicional.

Empresas que processam dados de candidatos em recrutamento: O processo seletivo envolve coleta de currículos (dados de identificação, histórico profissional, foto), realização de testes psicológicos (dados sensíveis de saúde mental — mediante CRM do psicólogo responsável), verificação de antecedentes criminais (dados sensíveis) e entrevistas gravadas. A LGPD se aplica desde a fase de recrutamento — o candidato é titular de dados pessoais antes mesmo de se tornar empregado. A empresa deve informar os candidatos sobre o tratamento de seus dados, inclusive sobre o prazo de retenção do currículo após o processo seletivo.

Uma Política LGPD para Empregados juridicamente completa no Brasil deve conter os seguintes elementos para demonstrar conformidade com os Arts. 6°, 7°, 11°, 18° e 37° da LGPD e com as diretrizes da ANPD.

Identificação do Controlador e do Encarregado (DPO): Nome da empresa (controladora), CNPJ, endereço e canal de contato do Encarregado de Proteção de Dados (DPO — Data Protection Officer). A LGPD Art. 41 exige a indicação de encarregado para todos os controladores (não apenas para os de grande porte). A ANPD publicou a Resolução CD/ANPD 2/2022 estabelecendo que controladores de pequeno porte podem designar o encarregado de forma simplificada. O DPO é o ponto de contato dos titulares de dados (empregados) para exercício de seus direitos (LGPD Art. 18°) e da ANPD para comunicações oficiais.

Mapeamento das Categorias de Dados Tratados: A política deve listar, por categoria de dado, a finalidade específica do tratamento, a base legal aplicável (LGPD Art. 7° para dados comuns; LGPD Art. 11° para dados sensíveis) e o prazo de retenção. Categorias mínimas a mapear: (a) dados de identificação e admissão — CPF, RG, CTPS, data de nascimento, endereço, estado civil, foto (finalidade: admissão, eSocial, cartão de visitas; base legal: obrigação legal/execução de contrato; retenção: 5 anos após rescisão — prazo prescricional trabalhista); (b) dados financeiros — salário, conta bancária, dependentes IR (finalidade: pagamento, imposto de renda; base legal: obrigação legal; retenção: 10 anos — prazo prescricional fiscal); (c) dados de saúde — atestados, PCMSO (finalidade: controle de saúde ocupacional NR-7; base legal: obrigação legal; retenção: 20 anos — eSocial e PCMSO); (d) dados biométricos — impressão digital, reconhecimento facial (finalidade: controle de ponto; base legal: consentimento ou segurança; retenção: durante o contrato); (e) dados de desempenho — avaliações, feedbacks, registros disciplinares (finalidade: gestão de RH; base legal: legítimo interesse; retenção: 2 anos após rescisão). O forms-legal.com disponibiliza este modelo como referência — o mapeamento completo deve ser feito com o auxílio do DPO e da área jurídica da empresa.

Direitos dos Titulares (Empregados) — LGPD Art. 18°: A política deve informar os empregados sobre seus direitos como titulares de dados pessoais e o procedimento para exercê-los: (a) acesso — obter confirmação da existência e acesso aos próprios dados tratados; (b) correção — solicitar correção de dados incompletos, inexatos ou desatualizados; (c) anonimização, bloqueio ou eliminação — de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD; (d) portabilidade — obter os dados em formato estruturado para transferência a outro controlador (limitado ao que seja tecnicamente razoável); (e) informação sobre compartilhamento — saber com quais terceiros os dados são compartilhados; (f) revogação do consentimento — quando o consentimento for a base legal, o titular pode revogá-lo a qualquer tempo, sem prejuízo do tratamento já realizado; e (g) oposição — opor-se a tratamento baseado em legítimo interesse, quando haja fundamento para tal. A empresa deve responder às solicitações de direitos no prazo de 15 dias (LGPD Art. 18°, §5°).

Compartilhamento de Dados com Terceiros: Lista dos operadores de dados (LGPD Art. 5°, VII — terceiros que tratam dados em nome da empresa) e autoridades com quem os dados são compartilhados: plataforma de folha de pagamento (ex.: SAP SuccessFactors, TOTVS RH), administradora de plano de saúde (ex.: Unimed, Bradesco Saúde), administradora de benefícios (ex.: VR Benefícios, Sodexo), plataforma de ponto eletrônico, governo federal (eSocial, CAGED, RAIS/Receita Federal, INSS/FGTS via Caixa), e sindicato da categoria (dados exigidos por convenção coletiva). Para cada compartilhamento, a política deve identificar a base legal e indicar se o compartilhamento é nacional ou internacional (LGPD Arts. 33° e 34° — transferências internacionais de dados).

Medidas de Segurança e Incidentes de Segurança: Descrição resumida das medidas técnicas e administrativas adotadas para proteger os dados pessoais dos empregados (LGPD Art. 46°): controle de acesso a sistemas de RH (perfis de acesso com menor privilégio), criptografia de dados sensíveis (biometria, dados de saúde), política de senhas e autenticação multifator, backups seguros com retenção controlada, treinamentos de segurança da informação para a equipe de RH, e contratos de processamento de dados com operadores (DPA — Data Processing Agreement — exigido pela LGPD Art. 37° e pelo GDPR para empresas com operações europeias). Prazo de comunicação de incidentes: a LGPD Art. 48° exige que a empresa comunique à ANPD e aos titulares afetados, em prazo razoável (a ANPD definiu 3 dias úteis para comunicação inicial em casos de alto risco — Resolução CD/ANPD 2/2022), incidentes de segurança que possam acarretar risco ou dano relevante aos titulares.

Para implementar a Política LGPD para Empregados no Brasil de forma que esteja em conformidade com a Lei 13.709/2018 e com as diretrizes da ANPD, siga as etapas abaixo.

Passo 1 — Realize o Mapeamento de Dados (Data Mapping) da Área de RH: Antes de redigir a política, mapeie todos os fluxos de dados pessoais dos empregados — desde o recrutamento até o arquivamento pós-rescisão. Para cada dado, identifique: finalidade (para que serve), base legal (Art. 7° ou 11° da LGPD), origem (como é coletado), destino (onde fica armazenado e com quem é compartilhado), e prazo de retenção (por quanto tempo deve ser mantido). Esse mapeamento (ROPA — Record of Processing Activities — LGPD Art. 37°) é o insumo para a política e deve ser mantido atualizado como documento vivo.

Passo 2 — Identifique as Bases Legais para Cada Categoria de Dado: A LGPD exige base legal específica para cada tratamento — não basta dizer genericamente que 'os dados são tratados com base na LGPD'. Para a maioria dos dados de RH, as bases legais são: cumprimento de obrigação legal (eSocial, FGTS, INSS, PCMSO, NRs do MTE) para dados de admissão, saúde e financeiros; execução de contrato de trabalho para dados necessários ao pagamento e benefícios; legítimo interesse para avaliações de desempenho, monitoramento de segurança e gestão de riscos; e consentimento específico (revogável) para dados biométricos voluntários e programas opcionais de bem-estar.

Passo 3 — Designe e Apresente o DPO (Encarregado): Designe formalmente o DPO da empresa — pode ser empregado da empresa ou terceiro contratado (DPO as a Service). Publique o nome e canal de contato do DPO no site da empresa (LGPD Art. 41°, §1°) e na Política LGPD para Empregados. O DPO é o ponto de contato dos empregados para exercício de direitos e para comunicação de incidentes envolvendo dados pessoais.

Passo 4 — Estabeleça o Procedimento de Atendimento de Direitos: Crie fluxo interno para receber e responder solicitações de direitos dos empregados (acesso, correção, portabilidade, eliminação): canal de recebimento (e-mail do DPO, formulário no portal de RH), prazo de resposta (15 dias — LGPD Art. 18°, §5°), responsável pelo atendimento (DPO ou equipe de RH designada), e registro de todas as solicitações e respostas (para demonstrar conformidade em eventual auditoria da ANPD).

Passo 5 — Formalize a Comunicação com Ciência do Empregado: Entregue a Política LGPD para Empregados a todos os empregados, com Termo de Ciência assinado. Para empregados em teletrabalho, o envio digital com confirmação de leitura (receipt confirmation) ou assinatura eletrônica é equivalente. Inclua a política no processo de onboarding de novos empregados e realize treinamento anual de atualização. Mantenha os registros de comunicação por no mínimo 5 anos.

A Política LGPD para Empregados está fundamentada em dispositivos específicos da Lei 13.709/2018 e nas regulamentações da ANPD que criam obrigações diretas para as empresas empregadoras.

LGPD Art. 6° — Princípios do Tratamento: Os princípios da LGPD que regem o tratamento de dados dos empregados incluem: finalidade (tratamento apenas para fins legítimos, específicos e informados ao titular — Art. 6°, I); adequação (compatibilidade com as finalidades informadas — Art. 6°, II); necessidade (tratamento limitado ao mínimo necessário para a finalidade — Art. 6°, III, que fundamenta o princípio da minimização de dados); livre acesso (garantia de consulta facilitada sobre o tratamento — Art. 6°, IV); qualidade dos dados (exatidão, clareza, atualização — Art. 6°, V); transparência (informações claras e acessíveis ao titular — Art. 6°, VI); segurança (medidas técnicas e administrativas de proteção — Art. 6°, VII); prevenção (adoção de medidas preventivas de danos — Art. 6°, VIII); não discriminação (impossibilidade de tratamento para fins discriminatórios — Art. 6°, IX — especialmente relevante para dados de saúde de empregados); e responsabilização e prestação de contas (demonstração de conformidade — Art. 6°, X).

LGPD Art. 7° — Bases Legais para Dados Comuns: No contexto trabalhista, as principais bases legais do Art. 7° para dados dos empregados são: II (cumprimento de obrigação legal ou regulatória — para dados exigidos pela CLT, eSocial, FGTS, INSS, NRs do MTE); V (execução de contrato — para dados necessários à execução do contrato de trabalho); e IX (legítimo interesse do controlador — para dados de gestão interna de RH sem base legal mais específica, observados os limites do Art. 10°). O consentimento (Art. 7°, I), embora válido, é a base mais frágil na relação de emprego, pois a ANPD reconhece que o desequilíbrio de poder entre empregador e empregado compromete a voluntariedade plena do consentimento — o que exige cuidado especial na sua utilização.

LGPD Art. 11° — Bases Legais para Dados Sensíveis: Dados de saúde, biométricos, raciais, de orientação sexual e religiosos dos empregados são dados sensíveis com regime jurídico mais restritivo. No contexto trabalhista, as bases legais do Art. 11° mais utilizadas são: II, a (cumprimento de obrigação legal — PCMSO, NR-7, eSocial para dados de saúde ocupacional); II, f (exercício regular de direitos em contrato de trabalho — para dados de saúde em benefícios contratuais); e I (consentimento específico e destacado para dados sensíveis voluntários, como biometria de ponto e programas de bem-estar opcionais). A ANPD exige que o tratamento de dados sensíveis seja destacado na Política LGPD para Empregados, com identificação explícita das bases legais e das medidas adicionais de segurança.

LGPD Art. 18° — Direitos dos Titulares: Os empregados têm todos os direitos de titular de dados previstos no Art. 18° da LGPD: acesso, correção, anonimização/bloqueio/eliminação de dados excessivos, portabilidade, informação sobre compartilhamento, revogação do consentimento, e oposição ao tratamento. A empresa deve criar procedimento formal para atender esses direitos em até 15 dias (Art. 18°, §5°). Restrições ao exercício de direitos são admitidas apenas quando o tratamento é necessário para cumprimento de obrigação legal (ex.: a empresa não pode eliminar dados de admissão que são obrigatórios no eSocial por 5 anos) — e devem ser fundamentadas e documentadas.

LGPD Art. 37° e 48° — ROPA e Notificação de Incidentes: O Art. 37° exige que controladores e operadores mantenham Registro das Operações de Tratamento de Dados Pessoais (ROPA), que inclui os dados dos empregados. O Art. 48° obriga a notificação da ANPD e dos titulares afetados em caso de incidente de segurança que possa causar risco ou dano relevante (prazo inicial de 3 dias úteis — Resolução CD/ANPD 2/2022).

Os erros mais frequentes na implementação da Política LGPD para Empregados no Brasil resultam em descumprimento da Lei 13.709/2018, sanções da ANPD e ações trabalhistas por violação de privacidade.

Erro 1 — Usar Consentimento como Base Legal Universal para Dados de RH: O erro mais comum — e mais criticado pela ANPD — é basear todo o tratamento de dados dos empregados no consentimento (LGPD Art. 7°, I). No contexto trabalhista, o consentimento é problemático porque o empregado tem dificuldade real de recusá-lo sem consequências para o emprego. A ANPD, em nota técnica publicada em 2021, esclareceu que o empregador deve priorizar as bases legais mais adequadas para cada categoria de dado (cumprimento de obrigação legal, execução de contrato, legítimo interesse) e utilizar o consentimento apenas para dados opcionais — como biometria voluntária e programas de bem-estar não obrigatórios. O uso de consentimento viciado (obtido como condição de emprego) é inválido pela LGPD.

Erro 2 — Não Mapear os Dados Sensíveis dos Empregados: Empresas que não identificam e não aplicam o regime diferenciado do LGPD Art. 11° para dados sensíveis dos empregados ficam em descumprimento para dados de saúde (atestados, exames do PCMSO, dados de plano de saúde), dados biométricos (ponto eletrônico com impressão digital ou reconhecimento facial), e dados de raça e etnia (coletados em relatórios de diversidade). Os dados sensíveis exigem base legal específica do Art. 11°, medidas de segurança adicionais, e destaque na Política LGPD — não podem ser tratados com as mesmas bases do Art. 7° aplicáveis a dados comuns.

Erro 3 — Reter Dados de Ex-Empregados por Prazo Indefinido: A LGPD exige que os dados sejam eliminados quando não mais necessários para a finalidade ou quando encerrado o prazo legal de retenção. Para dados de empregados, os prazos legais são: 2 anos após o término do contrato (prescrição trabalhista — CF Art. 7°, XXIX); 5 anos para dados fiscais (Código Tributário Nacional Art. 174 e IN RFB 1.911/2019 sobre eSocial); 20 anos para dados de PCMSO (NR-7 do MTE). Dados retidos além do prazo legal necessário expõem a empresa à obrigação de eliminar (LGPD Art. 18°, IV) e podem ser causa de autuação pela ANPD. A política deve definir os prazos de retenção e o procedimento de descarte seguro (destruição de documentos físicos, deleção de registros digitais).

Erro 4 — Não Informar os Empregados sobre Monitoramento de Sistemas: O monitoramento de e-mails corporativos, navegação na internet, localização GPS de veículos ou dispositivos, e uso de sistemas corporativos envolve tratamento de dados pessoais dos empregados. Para ser lícito nos termos da LGPD e aceitável para o TST, o monitoramento deve ser: previamente informado (Política LGPD ou Política de Uso de Equipamentos com Termo de Ciência assinado), proporcional (limitado ao que é necessário para as finalidades legítimas do empregador — segurança, compliance, gestão), e seguro (os dados de monitoramento devem ser tratados com as mesmas medidas de segurança dos demais dados pessoais). Monitoramento não informado é tratado pelo TST como violação de privacidade e pode gerar indenização por dano moral.

Erro 5 — DPO Sem Autonomia ou Sem Canal de Contato Público: A LGPD Art. 41° exige a indicação de encarregado e a publicação de seus dados de contato. Nomear um DPO 'de papel' — sem autonomia real, sem canal de contato público, sem treinamento em LGPD, e sem acesso ao conselho ou à diretoria da empresa — não atende ao requisito legal e não demonstra o comprometimento com a proteção de dados exigido pelo princípio da responsabilização (LGPD Art. 6°, X). A ANPD pode exigir que a empresa comprove a atuação efetiva do DPO em auditoria ou fiscalização.