Pré onboarding encante o talento antes da CLT
A Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018) transformou profundamente a rotina empresarial no Brasil. Entre os setores mais impactados por essa legislação está o de Recursos Humanos (RH). Afinal, o setor de gestão de pessoas lida diariamente com um volume massivo de informações confidenciais desde o primeiro contato com um profissional: a fase de recrutamento e seleção, culminando no processo de admissão.
Garantir a conformidade legal na admissão não é apenas uma obrigação jurídica para evitar penalidades e multas da Autoridade Nacional de Proteção de Dados (ANPD); trata-se de um pilar estratégico de governança corporativa, respeito ao trabalhador e construção de uma marca empregadora forte.
Neste guia completo e aprofundado, você entenderá em detalhes como a LGPD se aplica especificamente ao momento da contratação de funcionários, quais cuidados práticos o seu RH deve adotar para blindar o fluxo de admissão e como mitigar riscos de vazamentos de dados.
O Impacto da LGPD no Ecossistema de Recursos Humanos
O setor de Recursos Humanos funciona como o "guardião" do ciclo de vida dos colaboradores dentro da organização. Esse ciclo envolve a coleta de dados de candidatos, funcionários ativos, prestadores de serviços, estagiários, menores aprendizes e ex-colaboradores.
De acordo com as premissas da LGPD, a empresa atua na maior parte do tempo como Controladora dos dados (responsável por tomar as decisões sobre o tratamento), enquanto os profissionais do RH operam como agentes diretos desse fluxo de tratamento.
O Conceito de Tratamento de Dados no RH
A lei estabelece que "tratamento" é qualquer operação realizada com dados pessoais. No contexto da admissão, isso engloba:
- Coleta: O ato de receber o currículo ou solicitar os documentos admissionais.
- Processamento: Inserir os dados cadastrais no sistema de folha de pagamento ou ERP de RH.
- Armazenamento: Guardar cópias físicas de documentos em pastas ou arquivos na nuvem.
- Compartilhamento: Enviar as informações do novo empregado para a contabilidade externa, operadoras de benefícios (plano de saúde, vale-transporte) e para os órgãos governamentais (como o eSocial).
- Eliminação: Descartar de forma segura os registros quando o período legal de guarda expirar.
Para que todas essas ações ocorram dentro da legalidade, o RH precisa basear cada operação em uma das bases legais estipuladas pela legislação e seguir rigorosamente os princípios de governança e segurança.
Bases Legais Aplicadas ao Processo de Admissão
Um dos maiores erros cometidos pelas organizações ao iniciar um projeto de adequação é acreditar que o consentimento (a assinatura de um termo de autorização pelo trabalhador) é a única forma de validar o tratamento de dados pessoais. Na verdade, a LGPD prevê 10 bases legais para dados comuns e regras estritas para dados sensíveis. Na admissão de funcionários, o consentimento raramente é a base mais recomendada devido à assimetria de poder na relação de emprego.
As bases legais mais adequadas e seguras para a fase admissional são:
A. Cumprimento de Obrigação Legal ou Regulatória (Art. 7º, II)
Esta é a principal base legal utilizada pelo Departamento Pessoal e pelo RH durante a admissão. A empresa tem o dever jurídico de recolher uma série de informações do trabalhador para alimentar sistemas públicos e cumprir a legislação trabalhista e previdenciária.
- Exemplos práticos: Envio de dados ao sistema do eSocial, emissão do Registro de Empregados (físico ou eletrônico), recolhimento do FGTS, preenchimento da Relação Anual de Informações Sociais (RAIS) e retenção do Imposto de Renda na fonte.
- Nesse cenário, a empresa não precisa pedir permissão ou consentimento ao novo funcionário para tratar tais dados, pois a própria lei federal obriga a coleta dessas informações.
B. Execução de Contrato ou de Procedimentos Preliminares (Art. 7º, V)
A admissão é, por essência, a formalização de um vínculo contratual. Todos os dados estritamente necessários para redigir, validar e operacionalizar o contrato de trabalho entram nesta categoria.
- Exemplos práticos: Coleta do nome completo, estado civil, CPF, RG, endereço residencial para fins de entrega de benefícios de transporte e dados bancários para o pagamento do salário mensal.
C. Exercício Regular de Direitos em Processo Judicial, Administrativo ou Arbitral (Art. 7º, VI)
A organização precisa reter determinados registros para se resguardar juridicamente em caso de eventuais litígios futuros (como ações trabalhistas perante a Justiça do Trabalho).
- Exemplos práticos: Guarda dos comprovantes de exames médicos admissionais, termos de opção ou recusa de benefícios e folhas de ponto originais.
D. Legítimo Interesse (Art. 7º, IX)
Utilizada com extrema cautela, essa base legal apoia tratamentos que trazem um benefício claro para a empresa ou para o próprio trabalhador, desde que não firam os direitos fundamentais do indivíduo.
- Exemplos práticos: Monitoramento de segurança patrimonial através de câmeras de CFTV nas dependências da empresa onde o novo colaborador irá atuar ou pesquisas internas de fit cultural pós-onboarding.
Classificação dos Dados Coletados na Admissão
Para gerenciar os riscos de forma cirúrgica, o RH deve compreender a diferença entre os tipos de dados e aplicar níveis proporcionais de proteção a cada um deles:
| Tipo de Dado | Definição Geral | Exemplos no Processo Admissional | Nível de Proteção Exigido |
|---|---|---|---|
| Dados Pessoais Comuns | Qualquer informação que identifique ou possa identificar diretamente uma pessoa natural. | Nome, RG, CPF, número do PIS, endereço, e-mail, telefone comercial/residencial, histórico profissional e acadêmico. | Alto: Controle de acesso por senha e armazenamento restrito ao setor de DP. |
| Dados Pessoais Sensíveis | Dados que trazem maior risco de discriminação ou violação à intimidade do indivíduo. Exigem regras muito mais severas e bases legais restritas. | Dados médicos (Atestado de Saúde Ocupacional - ASO), dados biométricos para controle de ponto ou acesso físico, filiação a sindicato e raça/etnia (exigida pelo eSocial). | Crítico: Criptografia ponta a ponta, acesso exclusivo ao médico do trabalho ou gestor de DP e proibição de compartilhamento sem amparo legal estrito. |
O Fluxo de Admissão Passo a Passo Sob a Ótica da LGPD
Para estruturar um processo de contratação em total conformidade, o RH precisa analisar o fluxo cronologicamente e adotar mitigações em cada etapa:
Etapa 1: Solicitação de Documentos (Princípio da Minimização)
O princípio da minimização determina que a empresa deve coletar apenas os dados estritamente necessários para alcançar a finalidade pretendida. Pedir dados "por garantia" ou "para uso futuro" viola a LGPD.
- O que evitar: Solicitar certidões de antecedentes criminais sem que a função exija de forma legalmente justificada (como profissionais de segurança armada ou manuseio de altos valores), testes de gravidez ou exames de HIV (prática proibida por lei e considerada altamente discriminatória).
- Boa prática: Crie uma lista enxuta de documentos baseada rigorosamente no que o eSocial e a Consolidação das Leis do Trabalho (CLT) exigem para a categoria do trabalhador. Evite coletar documentos de parentes ou cônjuges a menos que sejam necessários para fins de dependência no Imposto de Renda, concessão de plano de saúde corporativo ou pagamento de salário-família.
Etapa 2: Recebimento e Digitalização
O método de recepção dos arquivos é um dos pontos críticos para incidentes de segurança.
- Cenário de Risco: Candidatos aprovados enviando fotos legíveis de documentos via WhatsApp pessoal do recrutador ou cópias impressas deixadas expostas na mesa da recepção.
- Solução: Centralize o recebimento de documentos através de portais de admissão criptografados (sistemas ATS ou softwares especializados de RH) ou canais oficiais corporativos com exclusão automatizada das mensagens após o processamento. Se os papéis forem entregues fisicamente, devem ser digitalizados imediatamente para um servidor seguro com controle de acessos e as cópias físicas devolvidas ao titular ou destruídas em fragmentadoras de papel adequadas.
Etapa 3: Exame Médico Admissional e Dados de Saúde
O Atestado de Saúde Ocupacional (ASO) é obrigatório por lei, mas o prontuário médico detalhado contendo diagnósticos e exames específicos não deve ser compartilhado com a equipe interna de RH.
- Regra de Ouro: O RH deve ter acesso apenas ao resultado conclusivo do ASO: se o trabalhador está "Apto" ou "Inapto" para exercer as atividades do cargo. Qualquer detalhamento de patologias deve permanecer sob o sigilo estrito da clínica de medicina do trabalho terceirizada ou do médico do trabalho da empresa.
Etapa 4: Compartilhamento com Terceiros e Operadores de Dados
Durante a admissão, o RH inevitavelmente repassa os dados coletados para parceiros de negócios. A responsabilidade por esses dados permanece compartilhada pela empresa contratante (Controladora).
- Contabilidade Externa: O envio de arquivos com as qualificações cadastrais deve ocorrer por plataformas seguras com canais criptografados (como SFTP ou portais internos protegidos), e nunca por e-mails convencionais sem senha.
- Benefícios: Ao contratar plano de saúde, odontológico, seguro de vida, vale-refeição ou transporte, forneça às operadoras somente o mínimo indispensável (geralmente Nome, CPF e Data de Nascimento). Certifique-se de que os contratos com esses fornecedores possuam cláusulas explícitas de proteção de dados e multas em caso de descumprimento das diretrizes da LGPD.
Para garantir que toda essa engrenagem funcione com excelência, sua organização pode contar com o suporte estratégico especializado de consultorias de privacidade. Conheça as soluções voltadas à governança corporativa acessando os serviços da JPeF Consultoria.
Medidas Práticas para Proteger os Dados no seu RH
A adequação à LGPD não envolve apenas termos jurídicos; requer uma mudança profunda na cultura organizacional e na infraestrutura de segurança da informação. A seguir, destacamos as melhores práticas operacionais para blindar o seu Departamento Pessoal:
I. Controle Rígido de Acessos (Privilégio Mínimo)
Nem todos os membros da empresa precisam visualizar as informações confidenciais do novo funcionário. Implemente uma política onde o acesso às pastas digitais ou físicas com prontuários de admissão seja limitado exclusivamente aos profissionais que necessitam operar tais dados diretamente para executar suas funções (por exemplo, analistas de Departamento Pessoal encarregados da folha de pagamento). Gestores de outras áreas devem receber apenas os dados operacionais indispensáveis para o dia a dia do setor.
II. Revisão Integral de Contratos e Acordos
A estrutura documental do setor de Recursos Humanos deve ser integralmente atualizada para refletir a nova realidade da privacidade de dados.
- Aditivos Contratuais e Contratos de Trabalho: Insira cláusulas específicas de proteção de dados informando ao empregado, de forma totalmente clara e transparente, a finalidade da coleta de seus registros, com quem serão compartilhados (órgãos públicos, empresas de benefícios) e os direitos assegurados a ele.
- Acordos de Confidencialidade (NDA): Toda a equipe interna do RH e do Departamento Pessoal deve assinar termos de confidencialidade robustos, assumindo o compromisso de manter sigilo absoluto sobre quaisquer dados de terceiros que venham a manusear no ambiente laboral.
III. Treinamento e Aculturamento da Equipe
A maior parte das falhas e vazamentos de dados não decorre de ataques cibernéticos sofisticados, mas sim de falhas humanas básicas por falta de instrução adequada (engenharia social, compartilhamento de senhas, descarte incorreto de papéis).
- Realize workshops periódicos com o time de RH abordando temas como detecção de tentativas de phishing, cuidados com telas desbloqueadas ao se afastar da mesa de trabalho, proibição do uso de pen drives pessoais em computadores corporativos e procedimentos em casos de suspeita de incidentes de segurança.
A capacitação técnica continuada é o melhor mecanismo preventivo contra multas e crises de reputação de mercado. Descubra os treinamentos corporativos de privacidade oferecidos pela equipe técnica acessando a página de Capacitação e Treinamentos JPeF Consultoria.
O Papel do Encarregado de Dados (DPO) na Rotina do RH
O Encarregado pelo Tratamento de Dados Pessoais, amplamente conhecido pelo termo em inglês DPO (Data Protection Officer), atua como a ponte de comunicação oficial entre a organização (Controladora), os titulares dos dados (funcionários e candidatos) e a Autoridade Nacional de Proteção de Dados (ANPD).
Atribuições do DPO junto ao RH:
- Canal de Atendimento ao Colaborador: Caso um funcionário queira exercer seus direitos (como solicitar a correção de um dado incorreto, revogar um consentimento específico ou consultar quais dados a empresa armazena sobre ele), ele fará essa requisição diretamente ao DPO.
- Auditorias de Processo: O DPO analisa periodicamente o mapeamento de processos do RH para verificar se novos sistemas de controle de ponto, ferramentas de avaliação de desempenho ou plataformas de recrutamento adotadas cumprem integralmente as exigências de privacidade.
- Gestão de Incidentes: Em uma situação de vazamento ou suspeita de acesso indevido, o DPO lidera o plano de contingência para conter o dano, avaliar os riscos e, se aplicável, notificar oficialmente a ANPD e os titulares prejudicados dentro do prazo legal.
Para entender a relevância de contar com profissionais certificados nessa liderança estrutural, consulte o portfólio completo da Equipe de DPO JPeF Consultoria e veja como estruturar essa governança com maestria.
O Ciclo de Vida dos Dados Pós-Admissão: Retenção e Descarte Seguro
Muitas empresas recolhem os documentos admissionais com maestria, mas falham gravemente ao gerenciar a guarda prolongada e o posterior descarte dessas informações. A LGPD proíbe a retenção indefinida de dados pessoais quando a finalidade que justificou sua coleta foi plenamente atingida.
No entanto, no universo trabalhista, a empresa deve equilibrar a LGPD com prazos prescricionais estipulados por outras legislações federais (como a CLT, leis previdenciárias e tributárias).
Prazos Recomendados para Guarda de Documentos do RH:
- Currículos e Dados de Candidatos Não Contratados: Devem ser descartados em prazos razoáveis (geralmente entre 6 meses a 1 ano), a menos que haja autorização prévia do profissional para manutenção em um "Banco de Talentos" para futuras oportunidades.
- Documentos Gerais de Empregados Ativos: Mantidos durante toda a vigência do contrato de trabalho.
- Documentos Pós-Desligamento:
- Contrato de Trabalho, Livro/Ficha de Registro: Prazo indeterminado (exigência previdenciária para fins de aposentadoria do trabalhador).
- Documentos do FGTS: 30 anos (conforme regras específicas de fiscalização previdenciária e jurisprudência).
- Recibos de Salário, Férias e Controle de Ponto: 5 anos (atendendo ao prazo prescricional de reclamações trabalhistas previsto na Constituição Federal).
Como realizar o Descarte Seguro?
- Arquivos Físicos: Devem ser destruídos por meio de fragmentadoras de papel com cortes transversais que impeçam a remontagem dos dados ou por meio de empresas terceirizadas especializadas em incineração/reciclagem industrial segura, com emissão de certificado de destruição térmica/mecânica.
- Arquivos Digitais: Exclusão definitiva dos servidores corporativos e backups, com a devida limpeza de lixeiras de rede e logs de sistema, garantindo que as informações não sejam passíveis de recuperação ou restauração por usuários comuns.
Diagnóstico de Adequação do RH: Um Checklist Prático
Se você deseja avaliar o nível de maturidade do seu setor de Recursos Humanos frente às diretrizes federais de proteção de privacidade, aplique este checklist analítico em sua próxima reunião de planejamento estratégico:
- Os formulários de preenchimento e fichas cadastrais coletam apenas as informações estritamente necessárias exigidas pela legislação ou eSocial?
- Os contratos de trabalho novos possuem cláusulas robustas especificando de forma transparente o escopo e as finalidades do tratamento de dados?
- As operadoras de benefícios contratadas pela organização passaram por processos de homologação de conformidade e assinaram aditivos contratuais de privacidade de dados?
- O ambiente digital do RH (pastas na rede, softwares em nuvem, sistemas de folha) adota mecanismos de autenticação forte, como senhas individuais complexas e Duplo Fator de Autenticação (MFA)?
- Existe uma rotina bem definida e documentada para o descarte seguro e periódico de currículos e registros admissionais antigos?
- A equipe de colaboradores do Departamento Pessoal e Recursos Humanos passa por treinamentos recorrentes sobre sigilo de informações e segurança digital?
Para acelerar o diagnóstico da sua corporação com uma abordagem sob medida e mapeamento detalhado de melhorias estruturais, entre em contato direto com os especialistas através da página de Contato JPeF Consultoria.