LGPD no RH: como tratar dados de funcionários e candidatos

Quando se fala em LGPD, muita gente pensa logo nos clientes. Mas, em boa parte das empresas, a área com mais dados pessoais, e mais sensíveis, é o RH. Currículos, documentos pessoais, exames médicos, dados de dependentes, biometria do ponto. Tudo isso passa pelo RH.

Quais dados o RH trata?

• Documentos pessoais, endereço, contatos e dados bancários.
• Dados de dependentes, inclusive de crianças.
• Exames admissionais e periódicos, atestados e afastamentos.
• Biometria e imagem, quando usadas no controle de acesso ou no ponto.
• Currículos de candidatos e avaliações de desempenho.

Quais são as bases legais mais comuns?

O consentimento é só uma das bases previstas na lei. No RH, a maioria dos tratamentos se apoia no cumprimento de obrigação legal (como folha, eSocial e exames ocupacionais) e na execução do contrato de trabalho (art. 7º). O consentimento fica para situações específicas, como usar a foto do funcionário em uma campanha de marketing.

Como tratar os dados sensíveis?

Dados de saúde, biometria e filiação sindical são dados sensíveis (art. 5º) e exigem cuidado redobrado. Na prática: acesso restrito a quem realmente precisa, guarda em local separado e, para atestados e exames, circulação mínima dentro da empresa.

O que fazer com os currículos de candidatos?

Currículos recebidos devem ser guardados só pelo tempo necessário ao processo seletivo ou pelo prazo informado ao candidato. Pastas com centenas de currículos antigos, sem prazo e sem controle, são um risco desnecessário.

Quem acessa o quê?

Pastas de RH abertas para a empresa inteira aparecem com frequência nos diagnósticos que fazemos. O mapa de acessos do RH precisa separar, por exemplo, quem vê a folha, quem vê os exames e quem cuida do recrutamento.

O que fazer com os dados de ex-funcionários?

Guardar documentos de ex-funcionários pelo prazo legal é permitido, porque existe obrigação de guarda. Vencido o prazo e sem outro motivo para manter, os dados devem ser eliminados (art. 16), com registro.

Checklist rápido para o RH

• Mapear os dados tratados em cada etapa: recrutamento, admissão, contrato e desligamento.
• Definir a base legal de cada tratamento.
• Restringir o acesso aos dados sensíveis.
• Definir prazos de guarda para currículos e documentos de ex-funcionários.
• Revisar contratos com fornecedores que recebem dados de funcionários, como benefícios e medicina do trabalho.

Os dados do RH em cada etapa

Etapa	Dados tratados	Cuidados
Recrutamento	Currículos, entrevistas, testes	Prazo de guarda curto e acesso restrito à seleção
Admissão	Documentos pessoais, exames, dados de dependentes	Exames separados e com acesso restrito
Contrato	Folha, ponto, férias, avaliações	Acesso por perfil dentro do RH
Desligamento	Rescisão, exame demissional	Prazos de guarda e posterior eliminação

Fornecedores do RH também tratam dados

Benefícios, plano de saúde, medicina do trabalho, folha terceirizada, sistemas de ponto. Todos esses fornecedores recebem dados de funcionários e precisam de cláusulas de proteção de dados nos contratos, com regras claras sobre uso, segurança e devolução ou eliminação dos dados ao fim do contrato.

Treinamento da equipe de RH

Quem trabalha no RH lida com dados pessoais o dia inteiro e precisa de um treinamento específico, além do treinamento geral da empresa. Alguns temas que não podem faltar:

• Quais dados são sensíveis e como protegê-los.
• Como compartilhar documentos de funcionários com segurança.
• Como responder a pedidos dos funcionários sobre seus dados.
• O que fazer em caso de envio errado ou perda de documentos.

Como responder aos pedidos dos funcionários sobre os próprios dados?

Funcionários e ex-funcionários também são titulares e podem pedir, por exemplo, acesso aos seus dados ou a correção de informações. O RH precisa saber onde estão esses dados para responder com rapidez, e, mais uma vez, o mapeamento é o que torna isso possível.

Monitoramento de funcionários

Câmeras, controle de acesso, monitoramento de e-mail corporativo. Essas práticas envolvem dados pessoais e precisam de finalidade clara, transparência com os funcionários e limites proporcionais. Informar, em política interna, o que é monitorado e por quê é o primeiro cuidado.

Desligamento e dados pessoais

No desligamento, alguns cuidados evitam problemas: retirar os acessos aos sistemas no último dia, organizar a documentação da rescisão no arquivo do RH, separar os documentos de saúde com acesso restrito e registrar a data de desligamento, que vai orientar os prazos de guarda. Um checklist simples garante que nada fique esquecido.

Perguntas frequentes

Preciso pedir consentimento dos funcionários para tratar os dados deles?

Na maioria dos casos, não. A folha, os registros e os exames ocupacionais se apoiam em obrigação legal e no contrato de trabalho. O consentimento fica para usos específicos.

Posso usar biometria no controle de ponto?

Pode, mas biometria é dado sensível. É preciso informar os funcionários, proteger os dados e limitar o acesso.

Por quanto tempo guardar currículos?

Pelo tempo do processo seletivo ou pelo prazo informado ao candidato. Guardar indefinidamente não é recomendado.

Posso pedir antecedentes criminais de candidatos?

É um tema delicado, com limites definidos pela Justiça do Trabalho para situações específicas. Antes de pedir, vale consultar o jurídico.

Os gestores podem ver os dados dos funcionários da equipe?

Apenas os dados necessários para a gestão, como férias e avaliações. Dados de saúde e informações sensíveis devem ficar restritos ao RH e à medicina do trabalho.

É preciso informar os funcionários sobre o uso dos seus dados?

Sim. Um aviso de privacidade para colaboradores, explicando quais dados são tratados e por quê, é uma boa prática e ajuda na transparência exigida pela LGPD.

Fotos de funcionários em eventos podem ir para as redes da empresa?

Para uso de imagem em comunicação e marketing, o recomendado é ter autorização do funcionário.

Por quanto tempo guardar os dados de quem participou de um processo seletivo e não foi contratado?

Pelo tempo necessário ao processo ou pelo prazo informado ao candidato. Depois disso, os dados devem ser eliminados, salvo se o candidato concordar em continuar no banco de talentos.

O RH pode usar o WhatsApp para enviar documentos de funcionários?

Não é o mais recomendado. Para documentos com dados pessoais, prefira canais corporativos com controle de acesso.

O RH pode usar ferramentas de IA para analisar currículos?

Pode, com cuidado: o candidato deve ser informado, os dados devem ser usados só para a seleção e a LGPD garante ao titular o direito de pedir a revisão de decisões tomadas apenas com base em tratamento automatizado (art. 20).

LGPD no RH: cuidado com quem cuida das pessoas

A LGPD no RH é, no fundo, uma questão de respeito com as pessoas que trabalham na empresa. Com mapeamento, acessos bem definidos e prazos claros, o RH protege os dados e ainda reduz riscos trabalhistas.

Saiba mais sobre a página do serviço de LGPD. Leia também o artigo sobre prazo de guarda de documentos trabalhistas e o artigo sobre LGPD para pequenas e médias empresas.

Fontes

• Lei 13.709/2018 (LGPD), arts. 5º, 7º, 11, 16 e 20.

Laura Silveira é bibliotecária, especialista em Gestão da Informação e do Conhecimento e fundadora da Arquigest, empresa especializada em organizar documentos e dados, do papel à nuvem, desde 2009. A Arquigest tem unidades em Belo Horizonte e São Paulo e atende organizações de todo o Brasil.