LGPD no RH: tratamento, armazenamento e proteção de dados dos colaboradores
O RH concentra um dos maiores volumes de dados sensíveis da empresa e a LGPD no RH exige governança em cada etapa desse ciclo
Poucas áreas de uma empresa lidam com tanta informação pessoal quanto o RH. Currículos, dados bancários, atestados médicos, avaliações de desempenho, informações de dependentes: tudo isso passa pela equipe de Recursos Humanos.
Então entra a LGPD no RH, a aplicação da Lei Geral de Proteção de Dados a todo o ciclo do colaborador, desde o recrutamento até o desligamento.
Para quem lida com prazos apertados e equipe enxuta, a lei pode parecer só mais uma camada de burocracia. Mas aplicá-la funciona ao contrário: reduz risco, evita retrabalho e dá mais previsibilidade ao dia a dia do RH.
Quando essa proteção precisa entrar em ação? Sempre que a empresa coleta, armazena ou compartilha dados de candidatos, colaboradores ou ex-colaboradores, ou seja, em praticamente toda rotina do departamento.
O que é LGPD no RH?
A LGPD no RH é a aplicação da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) às rotinas de gestão de pessoas: recrutamento, admissão, folha, benefícios, saúde ocupacional, avaliações e desligamento.
A lei estabelece regras sobre como dados pessoais devem ser:
- Coletados — com finalidade clara e específica;
- Armazenados — com controle de acesso e prazo definido;
- Compartilhados — com base legal e contrato;
- Descartados — quando não têm mais utilidade.
Por que Recursos Humanos é uma das áreas mais impactadas pela proteção de dados?
O RH acompanha a pessoa antes mesmo da contratação, desde o envio do currículo e mantém parte dessas informações mesmo após o desligamento.
Isso inclui dados comuns (nome, endereço, telefone) e dados sensíveis, como informações de saúde. Poucas áreas concentram tanta diversidade de dados pessoais em um único fluxo.
Quais princípios da LGPD precisam fazer parte da rotina do RH?
Quatro princípios orientam a prática do RH:
- Finalidade — coletar dados só para propósitos claros;
- Necessidade — evitar excesso de coleta;
- Transparência — informar o colaborador sobre o uso dos seus dados;
- Segurança — proteger contra acesso não autorizado.
Quais dados pessoais o RH coleta dos colaboradores
Antes de qualquer adequação, é preciso mapear o que a área efetivamente trata.
Dados cadastrais e documentos pessoais
RG, CPF, comprovante de residência e carteira de trabalho são a base de qualquer processo admissional. São dados pessoais comuns, mas isso não significa que possam ficar sem controle de acesso.
Informações bancárias e financeiras
Dados de conta bancária e informações usadas no cálculo da folha de pagamento circulam entre RH, financeiro e fornecedores. Esse fluxo exige atenção redobrada por envolver mais de uma área.
Dados de saúde e outros dados sensíveis
Atestados, laudos e informações de afastamentos são dados sensíveis segundo a LGPD. Exigem base legal específica e acesso limitado a quem realmente precisa dessa informação.
Informações de dependentes e familiares
Dados de filhos e cônjuges usados em benefícios ou imposto de renda também são dados pessoais protegidos, de terceiros que não têm relação direta com a empresa.
LGPD no recrutamento e seleção
A jornada de proteção de dados começa antes da contratação.
Dados coletados de candidatos
Nome, contato, formação e experiência profissional fazem parte da triagem. O ponto de atenção: coletar apenas o que é relevante para a vaga.
Currículos e bancos de talentos
Currículos recebidos continuam sendo dados pessoais enquanto armazenados. Manter um banco de talentos é legítimo, desde que exista finalidade clara e, idealmente, transparência com o candidato sobre o prazo de guarda.
Por quanto tempo os dados de candidatos devem ser mantidos?
Não existe prazo único definido em lei; o período de armazenamento deve estar ligado à finalidade do tratamento. Anotações de entrevistas sem utilidade após o processo seletivo devem ser descartadas, não arquivadas “por precaução”.
LGPD na admissão de funcionários
Quando o candidato é aprovado, o volume de dados coletados aumenta.
Quais informações são necessárias para formalizar o vínculo?
A admissão reúne documentos pessoais, dados bancários e exames admissionais. Cada documento deve ter finalidade específica, não ser coletado só “porque sempre foi assim”.
Como armazenar documentos admissionais com segurança?
Pastas físicas acessíveis a qualquer pessoa da equipe são um risco recorrente. O ideal: sistemas com controle de acesso, log de visualização e política clara de quem manuseia cada informação.
LGPD durante o vínculo empregatício
Com o colaborador ativo, o RH trata dados pessoais continuamente, em várias frentes.
Dados utilizados na folha de pagamento
A folha concentra dados pessoais salariais e bancários, que exigem medidas adequadas de proteção. Esse tema tem particularidades próprias, inclusive quando a operação é feita por parceiro externo, aprofundadas em LGPD na folha de pagamento.
Informações relacionadas a benefícios
Dados usados na gestão de benefícios, como plano de saúde, odontológico, dependentes, trafegam entre empresa, operadora e corretor. Esse compartilhamento precisa de base legal e contrato claro.
Dados médicos, afastamentos e atestados
Por serem dados sensíveis, exigem acesso restrito. Erro comum: atestados circulando por e-mail, visíveis a qualquer pessoa da equipe.
Avaliações e informações internas do colaborador
Avaliações de desempenho e registros de feedback também são dados pessoais. Precisam de critério de acesso e retenção, nem tudo precisa ficar no histórico indefinidamente.
LGPD no desligamento do colaborador
O fim do vínculo pode mudar as finalidades e as bases legais que justificam a manutenção dessas informações.
Quais informações precisam continuar armazenadas?
Documentos trabalhistas, previdenciários e fiscais têm prazos legais de guarda próprios, independentes da LGPD, e devem ser mantidos pelo período exigido por essas legislações.
Retenção e descarte de documentos
Informações sem mais finalidade legal ou contratual devem ser descartadas de forma segura. Uma política formal de retenção evita acúmulo de dados sem propósito, um dos pontos mais observados em fiscalizações.
Compartilhamento de dados de funcionários com terceiros
O RH raramente trabalha sozinho.
Contabilidade e BPO de folha
Quando a folha é operada por parceiro externo, é essencial um contrato que defina responsabilidades entre controlador e operador. Empresas com BPO de folha de pagamento devem exigir essa cláusula no escopo contratado.
Operadoras e fornecedores de benefícios
O compartilhamento com operadoras de saúde e corretoras deve ser limitado ao necessário, com contrato definindo como os dados serão tratados e por quanto tempo.
Sistemas e plataformas de RH
Fornecedores de sistemas de gestão de pessoas e ponto eletrônico podem atuar como operadores de dados, conforme as responsabilidades assumidas no tratamento.
Antes de contratar, verifique onde os dados ficam armazenados e como funciona a exclusão ao final do contrato.
A ANPD orienta que a classificação depende das atividades efetivamente desempenhadas. Guia dos agentes de tratamento.
Responsabilidades na contratação de fornecedores
A empresa continua responsável pelos dados mesmo quando o tratamento é feito por terceiro. Cláusulas de proteção de dados são essenciais para definir responsabilidades e orientar o tratamento realizado por fornecedores.
Principais riscos da LGPD para o RH
Entender os riscos ajuda a priorizar onde agir primeiro:
- Acesso indevido — documentos sensíveis visíveis a qualquer pessoa da equipe;
- Compartilhamento incorreto — envio de dados para destinatário ou canal errado;
- Falta de controle sobre fornecedores — contratar sem avaliar como o parceiro trata dados;
- Armazenamento inadequado — pastas e planilhas sem controle de acesso ou log.
Como adequar os processos de RH à LGPD?
Adequação é contínua, mas começa com passos concretos:
- Mapear os dados tratados pela área — o que é coletado, onde fica, quem acessa;
- Definir acessos e responsabilidades — nem todo mundo precisa ver tudo;
- Criar políticas de armazenamento e descarte — prazo definido para cada tipo de dado;
- Revisar fornecedores e sistemas — contratos com cláusulas claras de proteção;
- Treinar as pessoas que lidam com os dados — transformar regra em cultura.
Qual é o papel do DPO na proteção dos dados dos colaboradores?
O DPO (encarregado de dados) é o profissional responsável por atuar como canal entre a empresa, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD). No RH, esse papel é especialmente relevante pelo volume de dados sensíveis tratados pela área. Saiba mais sobre a função do DPO.
Relação entre DPO, RH, Jurídico e TI
A proteção de dados é responsabilidade compartilhada: o DPO define as diretrizes, o Jurídico avalia os riscos contratuais, a TI garante a segurança técnica e o RH aplica tudo isso na rotina de gestão de pessoas.
Por que a proteção de dados precisa de governança compartilhada?
Quando a LGPD é tratada como problema exclusivo do RH, a adequação fica incompleta. Governança compartilhada, com processos e responsabilidades claras entre áreas, é o que sustenta a proteção de dados no longo prazo.
Quando este guia não é suficiente?
Este conteúdo apresenta uma visão ampla da LGPD ao longo do ciclo do colaborador, mas não substitui um parecer jurídico específico para o seu caso, nem um diagnóstico técnico dos seus sistemas.
Incidentes de segurança já ocorridos, dúvidas contratuais com fornecedores ou questões específicas da proteção de dados na folha merecem análise dedicada.
Saiba mais: LGPD no RH: o que muda na gestão da folha de pagamento?
2easy: da conformidade pontual à governança contínua
A LGPD no RH é um processo contínuo que atravessa recrutamento, admissão, folha, benefícios e desligamento.
Os principais benefícios de aplicar essa governança corretamente: menos risco de exposição de dados, mais clareza em auditorias, contratos mais seguros com fornecedores e um RH com mais tempo para atuar de forma estratégica.
Para um RH com equipe enxuta, estruturar essa governança sozinho pode ser desafiador, principalmente quando os dados dos colaboradores passam por várias frentes ao mesmo tempo: folha, benefícios, admissão, desligamento.
É exatamente nesse ponto que a 2easy atua como parceira.
- No BPO de folha de pagamento, os dados salariais e bancários são tratados dentro de processos estruturados, com controle de acesso e responsabilidades contratuais claras entre controlador e operador.
- No SaaS de RH, a tecnologia dá ao próprio RH mais rastreabilidade sobre quem acessa cada informação.
- Na gestão de benefícios, o compartilhamento de dados com operadoras e corretoras acontece dentro de um fluxo com governança definida, reduzindo o risco de exposição indevida.
É ter um parceiro que ajuda a organizar processo, tecnologia e responsabilidade em cada etapa em que os dados dos colaboradores circulam.
Quer entender como estruturar a gestão de departamento pessoal da sua empresa com mais segurança sobre os dados dos colaboradores? Fale com um especialista da 2easy.
FAQ – Perguntas frequentes sobre LGPD no RH
O que é LGPD no RH?
É a aplicação da Lei Geral de Proteção de Dados às rotinas de gestão de pessoas, orientando como o RH coleta, armazena, compartilha e descarta dados de candidatos, colaboradores e ex-colaboradores.
Quais dados dos funcionários são protegidos pela LGPD?
Documentos pessoais, dados bancários, informações de saúde, avaliações internas e dados de dependentes, incluindo dados comuns e dados sensíveis.
O RH pode compartilhar dados de colaboradores com fornecedores?
Sim, desde que amparado por base legal e contrato que defina responsabilidades sobre a proteção desses dados.
O que fazer com os dados de um funcionário após o desligamento?
Manter apenas o exigido por obrigações trabalhistas, previdenciárias e fiscais, descartando o restante de forma segura.
Qual é o papel do DPO no RH?
Orientar boas práticas de proteção de dados e atuar como canal entre a empresa, os colaboradores e a ANPD.
