LGPD dentro de casa: dados de funcionario, ponto e monitoramento

Por que a LGPD alcança o RH antes de alcançar o cliente

Quando uma empresa começa a se preocupar com a Lei Geral de Proteção de Dados, o reflexo natural é olhar para fora: o cadastro de clientes, o formulário do site, a base de e-mail marketing. É um erro de perspectiva. O maior volume de dados sensíveis dentro de uma organização brasileira média não está no CRM — está no departamento pessoal. Fichas de admissão, atestados médicos, exames admissionais e demissionais, resultado de biometria, laudos de insalubridade, dados bancários, dependentes menores de idade, endereço residencial, filiação sindical. Tudo isso é tratamento de dados pessoais, e boa parte se enquadra como dado pessoal sensível pelo artigo 5º, inciso II da lei.

A diferença prática é grande. Dado sensível tem regime jurídico próprio: exige base legal específica, não admite qualquer justificativa genérica e concentra o maior risco sancionatório. Um exame ocupacional armazenado em pasta compartilhada aberta para toda a rede não é uma falha administrativa menor — é exposição de dado de saúde, categoria com proteção reforçada. E, ao contrário de um vazamento de base de clientes, o titular aqui está dentro da empresa, conhece o processo interno e tem canal direto com o sindicato e com o Ministério Público do Trabalho.

Há também um fator de assimetria que a LGPD reconhece explicitamente. A relação entre empregador e empregado é desequilibrada por natureza. Isso muda o cálculo de qual base legal a empresa pode invocar — e é exatamente onde a maioria dos projetos de adequação erra logo no primeiro passo.

Consentimento não é a base legal do RH

O equívoco mais comum e mais caro é montar toda a adequação do departamento pessoal em cima de um termo de consentimento assinado na admissão. A lógica parece impecável: o colaborador assinou, logo autorizou. Na prática, o consentimento é a base legal mais frágil que existe no contexto trabalhista, e a Autoridade Nacional de Proteção de Dados já sinalizou isso em orientações públicas.

O motivo é o requisito de livre manifestação previsto no artigo 5º, XII. Consentimento válido precisa ser livre, informado, inequívoco e para finalidade determinada. Quando quem pede é o empregador e quem assina é o candidato ou o empregado, a liberdade é presumidamente comprometida — ninguém recusa um termo na mesa de admissão. Some-se a isso o direito de revogação: o artigo 8º, §5º garante que o titular pode revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado. Uma empresa que baseia a folha de pagamento em consentimento fica juridicamente exposta ao cenário absurdo de um funcionário revogar a autorização para processar o próprio salário.

Regra prática: se a empresa não pode aceitar um "não" como resposta, então não é consentimento. É outra base legal — e ela precisa ser declarada corretamente.

As bases que realmente sustentam o tratamento de dados de colaborador são outras, e quase sempre múltiplas ao mesmo tempo:

• Cumprimento de obrigação legal ou regulatória (art. 7º, II) — eSocial, FGTS, CAGED, RAIS, PPP, controle de jornada exigido pelo art. 74 da CLT, guarda de prontuário ocupacional pela NR-07.
• Execução de contrato (art. 7º, V) — dados bancários para depósito de salário, endereço para vale-transporte, dados de dependentes para salário-família.
• Exercício regular de direito em processo (art. 7º, VI) — preservação de registros para defesa em reclamação trabalhista.
• Legítimo interesse (art. 7º, IX) — segurança patrimonial, prevenção a fraude, controle de acesso físico. Exige teste de proporcionalidade documentado e nunca se aplica a dado sensível.
• Tutela da saúde (art. 11, II, "f") — base específica para exames ocupacionais, executada por profissional de saúde ou serviço médico.

O consentimento sobra para casos genuinamente opcionais: publicar foto do colaborador em rede social corporativa, incluir o nome em campanha institucional, participar de programa voluntário de benefícios. Nesses casos ele funciona — e precisa ser destacado, separado do contrato de trabalho e revogável de fato.

Ponto biométrico: o dado sensível que a empresa coleta sem perceber

Biometria é dado pessoal sensível por definição legal quando usada para identificar unicamente uma pessoa. O leitor de digital no relógio de ponto, o reconhecimento facial na catraca e o leitor de íris na sala do data center coletam, todos, dado sensível de cada colaborador, todos os dias, várias vezes por dia. Muitas empresas instalaram esses equipamentos anos antes da LGPD e nunca reavaliaram o arranjo jurídico.

O ponto de partida é entender que a obrigação legal cobre o controle de jornada, não a biometria. A CLT e a Portaria 671/2021 do Ministério do Trabalho exigem registro fidedigno de entrada e saída para estabelecimentos com mais de 20 empregados, mas não determinam que o meio seja biométrico. Existem alternativas homologadas: REP-C convencional com cartão, REP-A por aplicativo com geolocalização, REP-P por sistema. Isso significa que a empresa não pode invocar pura e simplesmente "obrigação legal" para justificar a coleta da digital — precisa justificar a escolha do meio biométrico especificamente.

O caminho defensável combina duas coisas: uma avaliação de necessidade e proporcionalidade documentada (por que a biometria, e não o crachá? Historicamente houve fraude de marcação por terceiros? O ambiente permite outro método?) e a adoção de arquitetura tecnicamente minimalista. Os pontos que fazem diferença numa fiscalização:

• Armazenar template, não imagem. Um bom equipamento converte a digital em um vetor matemático irreversível. Guardar a imagem bruta da impressão digital é coleta excessiva e cria risco desnecessário.
• Manter o template no dispositivo ou em base cifrada e segregada, jamais na mesma tabela do sistema de folha, jamais em planilha exportável.
• Oferecer alternativa real para quem se recusa ou não consegue usar o leitor por condição física. A recusa não pode gerar sanção disciplinar.
• Excluir o template na rescisão. A obrigação de guardar o registro de jornada por cinco anos não implica guardar a biometria — o que precisa ser preservado é o espelho de ponto, não o dado biométrico que o gerou.
• Contratualizar o fornecedor do relógio como operador, com cláusula de LGPD, obrigação de segurança e devolução ou eliminação dos dados ao fim do contrato.

Esse último item é frequentemente esquecido. A empresa que terceiriza a gestão de ponto continua sendo controladora dos dados. Se o fornecedor vazar a base, a responsabilidade não desaparece por contrato — o artigo 42 prevê responsabilidade solidária em várias hipóteses.

Monitoramento de e-mail, internet e câmera: onde a linha está

A jurisprudência trabalhista brasileira consolidou, bem antes da LGPD, que o e-mail corporativo é ferramenta de trabalho e pode ser monitorado pelo empregador. O que a LGPD acrescentou não foi uma proibição, e sim três exigências que a maioria das empresas ainda não cumpre: transparência prévia, finalidade determinada e minimização.

Transparência prévia significa política escrita, comunicada, com ciência formal do colaborador, informando explicitamente o que é monitorado, com que frequência, por quem e para qual finalidade. Monitoramento oculto de e-mail corporativo, sem política publicada, é o cenário que produz condenação por dano moral — não porque o monitoramento em si seja ilícito, mas porque a expectativa de privacidade não foi corretamente afastada.

Finalidade determinada elimina a vigilância genérica. "Acompanhar a produtividade" não é finalidade determinada; "detectar exfiltração de dados de clientes por anexo" é. Quanto mais específica a finalidade, mais defensável a medida e mais fácil configurar a ferramenta para olhar só o que importa. Minimização, por fim, exige preferir sempre o meio menos invasivo capaz de atingir o objetivo — regra de DLP que inspeciona padrão de dado em anexo é menos invasiva que leitura integral da caixa postal por um analista humano.

Alguns limites são bastante firmes na prática:

1. WhatsApp pessoal e conta de e-mail particular do colaborador são invioláveis, mesmo acessados de máquina da empresa. Aqui a proteção é constitucional, art. 5º, XII, e não há base legal que salve.
2. Câmera é proibida em banheiro, vestiário e refeitório — o Tribunal Superior do Trabalho é consistente nesse ponto e há Convenção 155 da OIT no pano de fundo.
3. Áudio ambiente tem regime mais rígido que imagem. Gravar conversa contínua de escritório dificilmente passa no teste de proporcionalidade.
4. Keylogger e captura de tela contínua são desproporcionais em quase todo cenário corporativo comum, salvo ambiente de altíssima criticidade com justificativa formal e escopo restrito.
5. Retenção de gravação de CFTV deve ter prazo definido e curto — 30 a 90 dias é a prática de mercado defensável. Manter dois anos de vídeo "por precaução" é acúmulo sem base legal.

O teste que resolve a maior parte das dúvidas: se a medida de monitoramento fosse descrita em voz alta na integração de novos funcionários, ela pareceria razoável? Se a resposta é não, o problema não é jurídico — é de proporcionalidade.

Os erros que aparecem em toda auditoria de RH

Depois de repetir o mesmo diagnóstico em ambientes muito diferentes, um padrão de falhas se torna previsível. Quase nunca são erros de má-fé; são resquícios de processos que existiam antes da lei e nunca foram revisitados.

Pasta de rede aberta com currículos e exames. O compartilhamento \\servidor\RH costuma ter permissão herdada de um grupo antigo e amplo. Basta um usuário mal alocado para que dado de saúde fique legível para o time comercial. Correção: permissionamento por grupo dedicado, revisão trimestral de ACL e log de acesso ativado.

Currículo de candidato não selecionado guardado indefinidamente. Sem prazo de descarte, o banco de talentos vira passivo. O correto é definir prazo (12 a 24 meses é razoável), informar isso ao candidato e executar o expurgo automaticamente, não manualmente.

Planilha paralela de folha no computador do analista. Exportação para Excel com CPF, salário e dados bancários, salva no desktop, sem cifra, sincronizada em nuvem pessoal. É o vetor mais comum de vazamento real de dado de RH no Brasil.

Ex-funcionário com acesso ativo. A conta permanece habilitada porque o processo de desligamento não fala com o processo de TI. Além do risco de segurança, é tratamento sem base legal — o contrato acabou.

Ausência de tabela de temporalidade. A empresa guarda tudo para sempre porque ninguém definiu quanto tempo cada tipo de documento deve ficar. Prontuário ocupacional tem prazo próprio pela NR-07, registro de ponto tem cinco anos, dados de eSocial têm regime específico. Sem essa tabela, não há como cumprir o artigo 16 da LGPD, que determina eliminação após o fim do tratamento.

Fornecedor de benefícios sem contrato de operador. Plano de saúde, vale-refeição, gestão de PPP, consultoria de clima organizacional — todos recebem dados de colaborador e muitos operam sem cláusula de proteção de dados assinada.

Como transformar isso em projeto executável

Adequação de RH não é uma reunião jurídica seguida de um documento. É trabalho de processo e de infraestrutura, e a ordem importa. O roteiro que funciona começa pelo mapeamento de fluxo de dados do departamento pessoal — quais dados entram, por qual sistema, quem acessa, para onde vão, quanto tempo ficam. Só depois disso a definição de base legal por finalidade faz sentido, porque agora existe um inventário real para classificar.

Em seguida vêm os controles técnicos, que são onde a maior parte do risco se resolve na prática: segregação da rede e das pastas de RH, cifra em repouso, controle de acesso baseado em função, prevenção de perda de dados no e-mail, retenção configurada no lugar certo, log de acesso a documento sensível, revogação automática de acesso no desligamento e backup com política de expurgo compatível com a tabela de temporalidade. Documento sem controle técnico é adequação de papel — e é justamente o que não sobrevive a um incidente.

É nesse ponto que TI e jurídico precisam trabalhar juntos, e é o tipo de projeto que a Duk Informática & Cloud executa há mais de 18 anos junto a mais de 550 empresas. Como Microsoft Gold Partner, aplicamos os controles de proteção de dados diretamente no ambiente Microsoft 365 que a maioria dos clientes já possui — rótulos de confidencialidade, políticas de DLP, retenção no Exchange e SharePoint, acesso condicional e trilha de auditoria — sem exigir aquisição de plataformas paralelas. O ambiente de nuvem próprio em Alphaville e o suporte 24/7 com SLA completam a operação para quem precisa manter arquivo de RH cifrado, segregado e com backup auditável.

Adequar o tratamento de dados de colaborador não é burocracia defensiva: é reduzir a superfície de um vazamento que, no RH, custa mais caro do que em qualquer outra área da empresa. Quem começa pelo inventário e termina pelos controles técnicos chega lá com orçamento previsível e sem interromper a operação.