LGPD no RH: dados de colaboradores, recrutamento e folha de pagamento

O departamento de Recursos Humanos de qualquer organização é, por natureza, um dos maiores controladores de dados pessoais internos — e um dos mais sensíveis. Dados de colaboradores abrangem informações sobre remuneração, saúde, desempenho, vida pessoal e familiar, chegando frequentemente às categorias especiais de dados protegidas pelo Art. 11 da LGPD.

A vantagem do RH em relação a outras áreas é que boa parte do tratamento de dados tem amparo em bases legais sólidas: obrigação legal (eSocial, FGTS, NR-7) e execução de contrato (folha de pagamento, benefícios). O desafio está nos tratamentos que vão além dessa zona de conforto — monitoramento, banco de talentos, avaliações de desempenho com IA — onde as bases legais precisam ser cuidadosamente definidas.

Os dados tratados no RH

Recrutamento e seleção:

Currículo: nome, endereço, histórico profissional, formação
Documentos de identificação: CPF, RG, CNH
Resultados de testes e avaliações psicológicas ou técnicas
Referências profissionais (dados de terceiros)
Dados de saúde quando exigido exame admissional (NR-7)

Contrato e gestão:

Dados pessoais completos do colaborador e dependentes (para plano de saúde, IRRF)
Conta bancária para pagamento de salário
Endereço residencial
Dados para eSocial, FGTS e INSS
Controle de ponto (biometria, aplicativo, marcação manual)
Avaliações de desempenho e registros de feedback
Registros disciplinares e advertências

Dados sensíveis frequentes:

Atestados médicos e laudos (dados de saúde — Art. 11 da LGPD)
Informações sobre deficiência (PCD) — para cotas e adaptações (Art. 93, Lei Nº 8.213/1991)
Dados do plano de saúde e histórico de utilização
Filiação sindical — dado sensível por definição (Art. 11, I da LGPD)
Dados de gravidez e licença maternidade/paternidade

Bases legais aplicáveis no RH

A maioria das atividades de tratamento de dados no RH tem bases legais sólidas:

Atividade	Base legal	Fundamento
Admissão e registro em CTPS	Art. 7º, II — obrigação legal	CLT, Decreto 5.452/1943
eSocial, FGTS, INSS, CAGED	Art. 7º, II — obrigação legal	Legislação trabalhista e previdenciária
Folha de pagamento	Art. 7º, V — execução de contrato	Contrato de trabalho
Controle de ponto	Art. 7º, V — execução de contrato	CLT Art. 74 (empresas com mais de 20 funcionários)
Plano de saúde e benefícios	Art. 7º, V — execução de contrato	Contrato de trabalho + política de benefícios
Exame admissional, periódico e demissional	Art. 7º, II — obrigação legal	NR-7 (PCMSO)
Dados para declaração de IRRF	Art. 7º, II — obrigação legal	Legislação tributária
Avaliação de desempenho	Art. 7º, V — contrato / Art. 7º, IX — legítimo interesse	Gestão de desempenho
Treinamentos obrigatórios de segurança	Art. 7º, II — obrigação legal	NRs do Ministério do Trabalho

Consentimento não é a base certa para dados de colaboradores. O desequilíbrio de poder na relação empregatícia torna o consentimento do trabalhador questionável como base legal — se o colaborador sente que recusar o consentimento pode prejudicar seu emprego, o consentimento não é livre. Na maioria dos casos, as bases corretas são obrigação legal e execução de contrato.

Dados sensíveis no RH: os cuidados obrigatórios

Dados de saúde — o mais frequente:

O Art. 11 da LGPD exige bases legais mais restritas para dados sensíveis. Para dados de saúde de colaboradores:

Base mais comum: Art. 11, II, a — cumprimento de obrigação legal ou regulatória (exame médico obrigatório pela NR-7)
Para o plano de saúde: Art. 11, II, e — contratos de saúde, incluindo obrigações regulatórias

Cuidado crítico com o atestado médico: O médico do trabalho pode ver o diagnóstico; o RH, em regra, pode ver apenas a conclusão (apto ou inapto) e o número de dias de afastamento. A chefia imediata não tem acesso ao diagnóstico médico — somente à informação de que o colaborador está ou não apto ao trabalho.

Filiação sindical:

A filiação a sindicato é dado sensível (Art. 11, I). A coleta é permitida quando necessária para cumprimento de obrigação legal — como o desconto sindical por folha de pagamento. O dado não pode ser usado para discriminação, para interferir na liberdade de associação ou para transferência a terceiros sem base legal.

PCD (Pessoa com Deficiência):

O laudo de deficiência é dado de saúde — dado sensível. A base legal é a obrigação legal derivada da Lei de Cotas (Art. 93, Lei Nº 8.213/1991). O laudo deve ter acesso restrito (RH e médico do trabalho); a chefia precisa apenas saber se o colaborador precisa de adaptações — não de detalhes do diagnóstico.

Monitoramento de colaboradores: o que é permitido

O monitoramento de comunicações e atividades de colaboradores é uma das áreas mais sensíveis da intersecção entre LGPD e relações de trabalho — e onde mais organizações cometem erros.

CFTV (câmeras de segurança):

Permitido para segurança patrimonial, desde que informado aos colaboradores na admissão e em aviso visível
Proibido em banheiros, vestiários, refeitórios e locais onde há expectativa de privacidade
As imagens são dados pessoais — devem ser protegidas e retidas por prazo definido (prática comum: 30 dias)

E-mail corporativo:

O TST possui jurisprudência que permite o monitoramento de e-mail corporativo em condições específicas: e-mail de uso corporativo (não pessoal), ciência prévia do colaborador e política interna expressa
A LGPD exige que o colaborador seja informado do monitoramento — idealmente no contrato de trabalho e em política de TI
Monitorar conteúdo pessoal em e-mail corporativo cria expectativa de privacidade parcial que complica a análise

GPS e geolocalização:

Permitido para colaboradores que usam veículo da empresa em horário de trabalho
O rastreamento deve cessar fora do horário de trabalho
O colaborador deve ser informado na admissão

Softwares de monitoramento de produtividade remota:

Ferramentas que capturam tela, registram teclas ou monitoram uso de aplicativos são especialmente invasivas
Os princípios da LGPD de necessidade e proporcionalidade exigem que o monitoramento seja limitado ao mínimo necessário para a finalidade legítima
O colaborador deve ser informado antes do início do monitoramento, com descrição clara do que é capturado

Recrutamento e LGPD: o banco de talentos

Currículo e candidatura: Quando um candidato envia currículo para uma vaga específica, consente implicitamente com o uso para aquele processo seletivo. Mas esse consentimento não se estende automaticamente a outros usos — como reaproveitamento em processos futuros.

Para manter currículos em banco de talentos: é necessário consentimento específico, com informação clara sobre o prazo de retenção e a finalidade (ser contactado em processos futuros).

Candidatos não selecionados: Sem base legal para retenção prolongada após o processo. Prática recomendada: eliminar ou anonimizar após o encerramento do processo seletivo, ou solicitar consentimento explícito para inclusão no banco de talentos com prazo definido (ex: 12 ou 24 meses).

Background check: A verificação de antecedentes criminais e referências profissionais exige base legal justificada para cada elemento verificado. Para a maioria dos cargos, verificar antecedentes criminais sem relação com a função viola o princípio da necessidade — o nível de verificação deve ser proporcional ao cargo e ao risco envolvido.

Retenção de dados após o desligamento

Após o desligamento, o RH enfrenta o desafio de equilibrar obrigações legais de retenção com o direito do ex-colaborador à minimização de dados. A regra geral é: manter apenas o que a lei exige, pelo prazo que a lei exige.

Documento	Prazo de retenção	Base
Registros de admissão e demissão	5 anos (prescrição trabalhista)	CLT + jurisprudência
Folha de pagamento e recibos	5 anos	Prescrição trabalhista (CLT Art. 11)
Exames médicos (admissional, periódico, demissional)	20 anos após o desligamento (40 anos para exposição a agentes carcinogênicos)	NR-7
Dados de FGTS e comprovantes de recolhimento	5 anos (prescrição trabalhista pós-2014)	STF ARE 709.212
Registros de treinamentos de segurança	5 anos	NR-1
Dados não cobertos por obrigação legal	Eliminar após desligamento	—

Ponto crítico: A NR-7 exige que os registros médicos ocupacionais sejam mantidos por 20 anos após o desligamento do trabalhador — período muito superior à prescrição trabalhista geral. Para trabalhadores expostos a agentes carcinogênicos, o prazo é de 40 anos.

O RH como controlador de dados de terceiros

O RH frequentemente trata dados de pessoas que não são colaboradores: dependentes no plano de saúde, referências profissionais de candidatos, familiares em situações de emergência. Esses terceiros são titulares de dados com direitos plenos sob a LGPD — mesmo que nunca tenham interagido diretamente com a organização.

Dependentes no plano de saúde: São titulares com direito de acesso aos próprios dados. O RH precisa ter processo para atender solicitações de dependentes sobre seus próprios dados de saúde.

Referências profissionais: Quando o RH entra em contato com ex-empregadores para verificar referências, coleta dados pessoais de terceiros. Esses dados devem ser mínimos e usados apenas para a finalidade de avaliação do candidato.

Checklist de conformidade LGPD para o RH

Bases legais e ROPA:

Base legal mapeada para cada atividade de tratamento de dados de colaboradores?
Dados sensíveis (saúde, sindicato, PCD) identificados e com bases legais específicas (Art. 11)?
ROPA inclui todas as atividades do RH, com destinatários e prazos de retenção?

Recrutamento:

Candidatos informados sobre o uso dos dados no processo seletivo?
Processo para inclusão em banco de talentos com consentimento específico e prazo?
Procedimento de eliminação de dados de candidatos não selecionados?

Monitoramento:

Colaboradores informados sobre câmeras, GPS e monitoramento de e-mail?
Política de TI e Contrato de Trabalho incluem cláusula de monitoramento?
Monitoramento restrito ao horário de trabalho e ao mínimo necessário?

Dados sensíveis:

Atestados médicos com acesso restrito (apenas médico do trabalho e RH)?
Laudos de PCD e filiação sindical com controle de acesso granular?

Retenção:

Política de retenção pós-desligamento definida e implementada nos sistemas de RH?
Exames médicos com prazo de 20 anos (ou 40 para carcinogênicos) sob guarda correta?

Conclusão

O RH não é uma área de exceção à LGPD — é uma das áreas de maior exposição. A combinação de dados sensíveis, volume de titulares e tempo longo de retenção cria um perfil de risco que justifica investimento proporcional em controles.

A boa notícia é que a maioria do tratamento de dados no RH já tem base legal sólida nas obrigações trabalhistas e previdenciárias. O trabalho de adequação consiste principalmente em documentar o que já existe e corrigir os tratamentos sem base clara — especialmente em monitoramento, banco de talentos e uso de dados de candidatos não selecionados.

O Confidata inclui módulo de RH no ROPA com mapeamento preconstruído das principais atividades de tratamento em Recursos Humanos, bases legais pré-validadas e alertas de vencimento de prazos de retenção conforme NR-7 e demais normas trabalhistas.