LGPD no RH: como proteger dados sensíveis de funcionários

LGPD no RH é um dos pontos mais críticos para empresas digitais porque o setor de pessoas concentra, em um só lugar, informações altamente sensíveis, e um deslize simples pode virar incidente de segurança, passivo trabalhista e dor de cabeça operacional.

Ao longo deste artigo, você vai entender onde estão os maiores riscos, quais práticas reduzem exposição e como estruturar processos que funcionem no dia a dia, mesmo em times enxutos e em crescimento.

Por que LGPD no RH é uma área de alto risco

O RH costuma tratar dados que, se vazarem, não são “trocáveis” como uma senha: informações de saúde, biometria, documentos, histórico profissional e dados financeiros. Além disso, é comum que esses dados circulem por várias mãos (gestores, DP, contabilidade, clínica ocupacional, benefícios, plataformas de recrutamento), aumentando a superfície de risco.

Para startups, SaaS e e-commerces em escala, outro ponto pesa: rotatividade e crescimento acelerado. Sem processo claro, a empresa acumula bases antigas, acessos desnecessários e documentos espalhados, o cenário perfeito para incidentes.

Quais dados o RH trata e o que pode ser sensível

Na prática, o RH lida com dados pessoais em todas as fases do vínculo, e parte deles pode ser classificada como dado sensível (por exemplo, dados de saúde e biometria), exigindo cuidado redobrado.

Exemplos comuns no dia a dia:

Recrutamento: currículos, portfólios, avaliações, entrevistas gravadas, referências.
Admissão: documentos, dados bancários, endereço, dependentes, benefícios.
Rotina: ponto, geolocalização em apps, registros disciplinares, desempenho.
Saúde e segurança: atestados, exames admissionais/periódicos, laudos.
Desligamento: rescisão, controle de acesso, retenção de documentos e descarte.

O ponto central é evitar dois extremos: coletar “por precaução” aquilo que não é necessário e, ao mesmo tempo, deixar de registrar o mínimo indispensável para cumprir obrigações legais e operacionais.

Ciclo de vida do dado do colaborador: do currículo à demissão

Uma forma simples de organizar LGPD no RH é mapear o ciclo de vida do dado: coleta, uso, compartilhamento, armazenamento, retenção e descarte.

Na fase de recrutamento, um erro recorrente é guardar currículos por tempo indeterminado, inclusive impressos, sem controle de acesso. Já no vínculo ativo, o risco aparece quando pastas e planilhas viram “arquivo paralelo” fora dos sistemas oficiais. E no desligamento, o clássico é não revogar acessos, não encerrar contas e não aplicar uma regra clara de retenção.

A saída mais eficiente costuma ser documentar regras objetivas, por exemplo:

o que entra no dossiê do colaborador,
onde isso fica,
quem acessa,
por quanto tempo guarda,
como descarta com segurança.

Erros comuns que geram vazamentos e passivo trabalhista

Mesmo empresas bem-intencionadas falham no básico por falta de rotina. Em LGPD no RH, estes são erros que aparecem com frequência:

Currículos impressos ou expostos, sem guarda adequada e sem controle.
Acesso amplo a atestados e exames, quando só quem precisa deveria ver.
Planilhas soltas e compartilhamento por e-mail/WhatsApp, sem padrão de segurança.
Contas e permissões ativas após demissão, inclusive em ferramentas internas.
Ausência de política de retenção e descarte, acumulando dados sem necessidade.

Esses pontos não costumam “estourar” no dia seguinte, eles viram problema quando há um incidente, uma fiscalização, uma ação trabalhista ou um conflito interno que puxa o fio da organização de dados.

Boas práticas e checklist mínimo para o RH

A boa notícia é que dá para reduzir muito o risco com medidas práticas e proporcionais ao porte da empresa. Para orientar LGPD no RH, este checklist mínimo costuma trazer resultado rápido:

Inventarie onde os dados estão (pastas, sistemas, e-mails, armários, nuvem).
Defina perfis de acesso por função, com trilha de auditoria sempre que possível.
Padronize armazenamento (um repositório oficial, evitando arquivos paralelos).
Crie regra de retenção e descarte por tipo de documento, com rotina executável.
Formalize o compartilhamento com terceiros (contabilidade, clínicas, benefícios, plataformas).
Treine o time de RH e gestores para reduzir improvisos no tratamento de dados.

A lógica é simples: menos dados espalhados, menos gente com acesso, menos tempo guardando sem necessidade, menor chance de incidente.

Treinamento, fornecedores e resposta a incidentes

Treinamento não é “palestra anual”, é orientação objetiva para decisões do cotidiano, como responder pedido de ex-colaborador, encaminhar atestado, registrar ocorrência interna e armazenar documentos com segurança.

Além disso, em LGPD no RH os terceiros importam muito: clínica ocupacional, plataforma de recrutamento, ponto eletrônico, benefícios, contabilidade. Se esses parceiros tratam dados em seu nome, a contratação precisa prever obrigações mínimas de segurança, confidencialidade, controles de acesso e suporte em incidentes.

E se acontecer um incidente? Ter um procedimento básico evita improviso: quem aciona TI, quem preserva evidências, quem comunica internamente, como avaliar impacto e como registrar decisões. Isso reduz dano e mostra governança.

Quando buscar apoio jurídico

Você deve considerar apoio jurídico especializado quando:

houver tratamento de dados sensíveis em escala (biometria, saúde, monitoramento),
existirem muitos terceiros no fluxo de RH,
a empresa estiver crescendo rápido e acumulando bases,
houver incidentes, denúncias internas ou risco reputacional,
for necessário estruturar políticas, contratos e treinamentos de forma consistente.

Se você quer organizar LGPD no RH com processos claros e treinamento aplicável, vale falar com um time que atue com prevenção no contexto de negócios digitais. Fale com a Advocacia Digital Brasil.

FAQ

1) Currículo pode ficar guardado para futuras vagas?
Pode, mas com critério: guarde pelo tempo necessário e com controle de acesso, evitando acúmulo indefinido.

2) Atestado médico é dado sensível?
Em geral, sim, envolve dado de saúde e exige cuidado redobrado, acesso restrito e armazenamento seguro.

3) Posso pedir biometria para controle de ponto?
Pode ser possível, mas por ser dado sensível, o uso deve ser bem justificado, seguro e proporcional, com governança e transparência.

4) Depois da demissão devo apagar tudo?
Nem tudo. Parte dos registros deve ser mantida por obrigações legais e defesa em eventuais demandas. O ideal é ter política de retenção por categoria.

5) Quem deve acessar pastas do RH?
Somente quem precisa para a finalidade do trabalho. Acesso amplo “por conveniência” aumenta risco e dificulta auditoria.

Conclusão

LGPD no RH não é só documento, é rotina: controlar acesso, reduzir improvisos, organizar retenção e descarte, e treinar pessoas para lidar com dados sensíveis sem expor a empresa. Com processos simples e bem definidos, o RH deixa de ser um “ponto cego” e passa a ser uma área madura em governança de dados.