Controladora de Dados LGPD RH: o Ônus da Prova no Consentimento
Todos os dias, o departamento de Recursos Humanos da sua empresa manuseia um dos ativos mais sensíveis — e mais arriscados — do negócio: dados pessoais. Currículos recebidos em processos seletivos, biometria do relógio de ponto, atestados médicos, dados de dependentes para plano de saúde, avaliações de desempenho. Cada um desses registros é, ao mesmo tempo, uma ferramenta de gestão e uma fonte potencial de passivo.
A pergunta que todo diretor de RH e todo executivo deveria estar fazendo não é "estamos usando esses dados de forma útil?", mas sim: "conseguimos provar que estamos tratando esses dados de forma lícita?"
Essa é a lógica invertida que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) impõe às relações de trabalho: toda empresa é, na prática, controladora de dados LGPD RH, e entender bem esse papel é o que separa uma empresa exposta a autuações da ANPD e a indenizações trabalhistas de uma empresa protegida por um programa de compliance robusto.
1. A Empresa como Controladora de Dados LGPD RH: uma responsabilidade que não se delega
Nos termos do art. 5º, VI, da LGPD, controlador é quem toma as decisões referentes ao tratamento de dados pessoais. Na relação de emprego, essa figura recai, invariavelmente, sobre a pessoa jurídica empregadora — nunca sobre o funcionário que opera o sistema de RH.
Isso significa que:
É a empresa quem decide por que coletar biometria, quanto tempo guardar um atestado, com quem compartilhar dados de folha de pagamento.
O analista de RH que insere dados no sistema, o gestor que aprova um atestado, o profissional de TI que administra o banco de dados — todos eles atuam como operadores (art. 5º, VII), ou seja, executam o tratamento em nome e sob as ordens da controladora.
Por que isso importa para o executivo? Porque a responsabilidade legal — e o dever de indenizar, nos termos do art. 42 da LGPD — recai sobre a pessoa jurídica, independentemente de qual colaborador tenha cometido a falha operacional. Delegar a execução não delega a responsabilidade. A empresa responde objetivamente pelos danos causados pelo tratamento de dados que ela mesma determinou, salvo as excludentes previstas no art. 43.
Na prática, isso exige que a governança de dados de RH — políticas, contratos, prazos de retenção — seja definida e documentada no nível da diretoria e do jurídico, não deixada à discricionariedade de cada gestor de área.
2. O Ônus da Prova no Consentimento: o detalhe que decide o processo
O art. 8º, § 2º, da LGPD estabelece uma regra que muda o jogo em qualquer fiscalização ou reclamação trabalhista: cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei.
Não basta a empresa alegar que o funcionário "sempre soube" que sua biometria seria coletada, ou que "é praxe do mercado" pedir atestados. Se a base legal invocada for o consentimento (art. 7º, I), a empresa precisa demonstrar, documentalmente, que esse consentimento foi:
Livre — sem qualquer coação ou condicionamento à manutenção do emprego;
Inequívoco — manifestado de forma expressa, não presumida;
Informado — precedido de informação clara sobre finalidade, forma e duração do tratamento (art. 9º).
Quando esse consentimento for coletado por escrito, o art. 8º, § 1º, exige que a cláusula conste destacada das demais cláusulas contratuais — ou seja, não pode estar diluída em um parágrafo genérico do contrato de trabalho ou do regulamento interno. Precisa ser identificável, específica e assinada (ou aceita eletronicamente) de forma autônoma.
Alerta prático: cláusulas genéricas do tipo "o empregado concorda com o tratamento de todos os seus dados pessoais para os fins que a empresa entender necessários" são nulas de pleno direito. Elas não atendem ao requisito de finalidade específica (art. 9º, I) e serão desconsideradas tanto pela ANPD quanto pelo Judiciário trabalhista, deixando a empresa sem base legal válida — e, portanto, exposta.
3. Bases Legais Além do Consentimento: desmistificando a "obrigatoriedade" do consentimento
Um dos maiores equívocos de gestão em RH é acreditar que todo tratamento de dados de funcionário depende de consentimento. Não depende. O consentimento é apenas uma entre as dez bases legais do art. 7º, e frequentemente não é a mais adequada para a relação de emprego — justamente pela dificuldade de caracterizá-lo como verdadeiramente "livre" em um contexto de subordinação.
Duas bases legais costumam amparar, de forma mais segura, o tratamento de dados no ambiente de trabalho:
a) Cumprimento de Obrigação Legal ou Regulatória (art. 7º, II)
A empresa não precisa de consentimento para:
Alimentar o eSocial com dados admissionais, de remuneração e rescisórios, conforme exigido pela legislação previdenciária e trabalhista;
Realizar exames médicos admissionais, periódicos e demissionais, obrigatórios nos termos do art. 168 da CLT;
Manter o Programa de Controle Médico de Saúde Ocupacional (PCMSO), exigido pela Norma Regulamentadora nº 7 (NR-7) do Ministério do Trabalho e Emprego.
Nesses casos, a base legal é a própria lei ou norma regulamentadora — o consentimento do funcionário é irrelevante para a licitude do tratamento, embora a transparência sobre a finalidade continue sendo obrigatória.
b) Exercício Regular de Direitos em Processo (art. 7º, VI)
Após o desligamento do colaborador, a empresa continua legitimada a reter dados — mesmo sem qualquer consentimento — para viabilizar sua defesa em eventuais reclamatórias trabalhistas, autuações fiscais ou previdenciárias, respeitando os prazos prescricionais aplicáveis (em regra, dois anos após a extinção do contrato, para pretensões trabalhistas, nos termos do art. 7º, XXIX, da Constituição Federal).
Mensagem-chave para o executivo: o RH não precisa "pedir permissão" para cumprir a lei nem para se defender de um processo. O que a empresa precisa é documentar corretamente qual base legal está usando em cada momento do tratamento, para que, se questionada, consiga demonstrar essa adequação com precisão — e não apenas invocar genericamente "a LGPD permite".
4. Prazos de Retenção Críticos: o caso do Prontuário de Saúde Ocupacional
Um dos pontos de maior risco silencioso em auditorias de compliance trabalhista é o descarte prematuro — ou a guarda insuficiente — de documentos de saúde ocupacional.
A NR-7 determina que o prontuário clínico/prontuário de saúde ocupacional deve ser mantido por, no mínimo, 20 (vinte) anos após o desligamento do trabalhador, dada a natureza de doenças ocupacionais que podem se manifestar décadas após a exposição a agentes de risco.
Esse prazo não conflita com a LGPD — pelo contrário, ele é a própria concretização do princípio da necessidade (art. 6º, III) e da base legal de cumprimento de obrigação regulatória (art. 7º, II). A empresa que descarta prematuramente esse tipo de documento, achando que está "sendo minimalista" em termos de dados, na verdade está descumprindo a NR-7 e enfraquecendo sua própria defesa em eventuais ações de reconhecimento de doença ocupacional.
Recomendação de gestão: o RH deve manter uma tabela de temporalidade documental segregando, por tipo de dado, o prazo de retenção aplicável — que varia conforme a finalidade (fiscal, trabalhista, previdenciária, de saúde ocupacional) — evitando tanto a retenção excessiva e injustificada (violação ao princípio da necessidade) quanto o descarte precoce de documentos ainda exigidos por norma específica.
5. A Importância do Encarregado (DPO) na Governança de RH
A LGPD exige a indicação de um Encarregado de Proteção de Dados (DPO), cuja função é atuar como canal de comunicação entre o controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).
No contexto de RH, o DPO cumpre um papel estratégico:
Recebe e processa solicitações de funcionários sobre acesso, correção ou eliminação de seus dados;
Orienta o RH sobre qual base legal aplicar em cada nova prática de tratamento (ex.: implantação de um novo sistema de biometria, contratação de um novo plano de saúde);
Atua com autonomia e imparcialidade, o que significa que sua atuação não pode ser subordinada a interesses de conveniência operacional do próprio RH ou da diretoria — o DPO precisa poder apontar não conformidades sem retaliação.
Empresas que tratam a figura do Encarregado como um cargo meramente formal, sem estrutura ou autonomia real, comprometem a própria defesa em caso de fiscalização: a ausência de um canal efetivo de resposta a titulares é, por si só, um indício de programa de governança deficiente.
6. Responsabilidade do Colaborador e Justa Causa: quando o operador vira o problema
A LGPD responsabiliza a empresa como controladora, mas isso não significa impunidade para o colaborador que, na condição de operador, desvia das diretrizes de conformidade estabelecidas.
Quando um funcionário:
Acessa dados de colegas fora de suas atribuições;
Compartilha informações sigilosas de RH (salários, atestados, avaliações) sem autorização;
Ignora deliberadamente políticas internas de segurança da informação, causando vazamento de dados;
...essa conduta pode configurar falta grave, apta a ensejar dispensa por justa causa, com fundamento nas hipóteses de improbidade (art. 482, "a", CLT) ou violação de segredo da empresa (art. 482, "g", CLT), a depender do caso concreto. A política interna de proteção de dados, quando formalizada, comunicada e assinada pelo colaborador, torna-se peça central de prova para sustentar essa medida disciplinar em eventual reclamatória trabalhista.
Ponto de atenção: a validade da dispensa por justa causa nesses casos depende diretamente da existência prévia de uma política de dados clara, de treinamentos documentados e de mecanismos de controle de acesso proporcionais — sem essa estrutura prévia, a empresa terá dificuldade em comprovar que o colaborador tinha ciência inequívoca da conduta vedada.
Conclusão: da exposição ao controle
O tratamento de dados pessoais no RH não é um capítulo isolado de compliance — é uma engrenagem que atravessa três fases da relação de trabalho:
Pré-contratual: coleta de currículos e dados de candidatos em processo seletivo;
Contratual: biometria de ponto, atestados médicos, dados de dependentes, avaliações de desempenho;
Pós-contratual: retenção documental para defesa em processos e cumprimento de obrigações regulatórias, como a NR-7.
Em cada uma dessas fases, a pergunta não deve ser "temos o consentimento?", mas sim "qual é a base legal correta para esse tratamento, e temos como prová-la?". Essa mudança de mentalidade — de reativa para probatória — é o que efetivamente reduz a exposição da empresa a autuações da ANPD e a indenizações por danos morais em reclamatórias trabalhistas.
Empresas que estruturam essa governança agora, com apoio jurídico especializado, transformam a LGPD de fonte de risco em instrumento de proteção institucional.
Comentários