LGPD nas relações de trabalho: obrigações e cláusula contratual

Atualizado em outubro de 2026.

A LGPD nas relações de trabalho se aplica a todo o percurso do vínculo: o empregador que recebe currículos, registra empregados, processa a folha, controla a jornada e arquiva documentos depois do desligamento é controlador de dados pessoais e precisa de uma base legal para cada uma dessas operações. A Lei n. 13.709/2018 não tem capítulo próprio para o emprego, de modo que o regime geral incide por inteiro, somado às regras da CLT, das normas regulamentadoras e da jurisprudência trabalhista. Este artigo examina as bases legais de cada fase, os dados sensíveis, os antecedentes criminais, o monitoramento, os prazos de guarda, os incidentes, as sanções e a cláusula de proteção de dados no contrato de trabalho.

Em resumo: a LGPD alcança os dados de candidatos, empregados e ex-empregados, e o empregador atua como controlador. As bases mais usadas são a obrigação legal, a execução do contrato e o legítimo interesse (art. 7.º, II, V e IX); saúde, biometria e filiação sindical exigem uma das hipóteses do art. 11, que não inclui o legítimo interesse. O consentimento é exceção, porque a subordinação compromete sua liberdade. A certidão de antecedentes criminais só pode ser exigida quando justificada por lei, pela natureza da função ou por confiança especial (TST, IRR-243000-58.2013.5.13.0023). Incidentes relevantes devem ser comunicados à ANPD e aos afetados em 3 dias úteis, e a multa chega a 2% do faturamento, limitada a R$ 50 milhões por infração.

O que muda com a LGPD nas relações de trabalho?

A Lei Geral de Proteção de Dados (Lei n. 13.709/2018) incide sobre qualquer tratamento de dados pessoais realizado no território nacional por pessoa natural ou jurídica, de direito público ou privado (art. 3.º). No contrato de trabalho, o empregador ocupa a posição de controlador, porque decide por que e como os dados são tratados (art. 5.º, VI), e os candidatos, empregados e ex-empregados são os titulares. Os empregados que manuseiam dados de colegas ou de clientes no exercício de suas funções não se tornam operadores: agem sob o poder diretivo do empregador, que responde pelo tratamento, como esclarece a ANPD em sua orientação sobre agentes de tratamento.

Diferentemente do Regulamento Geral de Proteção de Dados europeu, cujo art. 88 autoriza os Estados-Membros a editar regras específicas para o contexto laboral, a lei brasileira não criou um regime trabalhista próprio: os princípios do art. 6.º — finalidade, necessidade, transparência, segurança e não discriminação, entre outros — aplicam-se diretamente às rotinas de recursos humanos. Desde a EC n. 115/2022, a proteção de dados pessoais é direito fundamental expresso (art. 5.º, LXXIX, da Constituição), ao lado da inviolabilidade da intimidade e da vida privada (art. 5.º, X).

A adequação do setor de pessoal integra o programa de conformidade da empresa como um todo, tratado no artigo sobre LGPD para empresas, mas tem particularidades do Direito do Trabalho: muitos dados sensíveis, assimetria entre as partes e deveres de guarda que duram anos.

Quais são as bases legais para tratar dados de empregados?

Para dados pessoais comuns, quatro hipóteses do art. 7.º sustentam a maior parte das rotinas de recursos humanos. A obrigação legal ou regulatória (inciso II) cobre registro, eventos do eSocial, folha, FGTS, contribuições previdenciárias e imposto de renda retido. A execução do contrato e os procedimentos preliminares a pedido do titular (inciso V) abrangem a seleção iniciada pela candidatura e a gestão ordinária do vínculo. O exercício regular de direitos em processo (inciso VI) justifica a guarda de documentos para a defesa em reclamações trabalhistas. O legítimo interesse (inciso IX) ampara, por exemplo, o controle de acesso e a fiscalização das ferramentas corporativas, desde que não prevaleçam os direitos fundamentais do empregado e que a ponderação fique documentada (art. 10).

Dados sensíveis — saúde, biometria, filiação sindical, origem racial ou étnica, convicção religiosa, entre outros (art. 5.º, II) — só podem ser tratados com consentimento específico e destacado ou nas hipóteses do art. 11, II, entre as quais estão a obrigação legal ou regulatória (alínea a), o exercício regular de direitos, inclusive em contrato (alínea d), a tutela da saúde em procedimento realizado por profissionais ou serviços de saúde (alínea f) e a prevenção à fraude e a segurança do titular em processos de identificação e autenticação (alínea g). O legítimo interesse não consta desse rol, o que exige cautela redobrada com qualquer uso de dados sensíveis que não decorra de lei ou do próprio contrato.

Os limites do consentimento na relação de emprego

A LGPD define o consentimento como manifestação livre, informada e inequívoca (art. 5.º, XII). Na relação de emprego, essa liberdade é estruturalmente limitada, e a lei veda o tratamento mediante vício de consentimento (art. 8.º, § 3.º). Como pode ser revogado a qualquer momento (art. 8.º, § 5.º), o consentimento também é impróprio para tratamentos de que a empresa não pode abrir mão. Convém reservá-lo a iniciativas de fato opcionais — uso da imagem em campanhas institucionais, programas voluntários de bem-estar, censos de diversidade —, em que a recusa não traga consequência para o contrato.

Quais dados o empregador pode pedir na seleção e na admissão?

O princípio da necessidade (art. 6.º, III) limita a coleta ao que é pertinente para avaliar a aptidão para o cargo. Perguntas sobre estado civil, planos de ter filhos, religião, orientação sexual ou filiação partidária e sindical não guardam relação com a função e, além de violar a LGPD, podem configurar prática discriminatória vedada pela Lei n. 9.029/1995. A CLT proíbe exigir atestado ou exame para comprovar esterilidade ou gravidez, na admissão ou durante o contrato (art. 373-A, IV). Dados de dependentes e conta bancária devem ser pedidos na admissão, e não no recrutamento; os de filhos menores seguem o melhor interesse da criança (art. 14 da LGPD).

Os dados de candidatos não aprovados perdem a finalidade com o fim da seleção: devem ser eliminados em prazo curto, fixado em política interna, salvo opção do candidato pelo banco de talentos, revogável a qualquer tempo. Na triagem automatizada, o titular pode pedir a revisão de decisões tomadas unicamente por tratamento automatizado que definam seu perfil profissional, e o controlador deve informar os critérios utilizados (art. 20 e § 1.º). As cautelas de governança no uso de inteligência artificial, examinadas no artigo sobre inteligência artificial na advocacia e na área de Blockchain e Inteligência Artificial, aplicam-se igualmente ao recrutamento.

Antecedentes criminais: a tese do TST

A exigência de certidão de antecedentes criminais de candidatos foi disciplinada pelo Tribunal Superior do Trabalho em incidente de recursos repetitivos julgado em 2017 (IRR-243000-58.2013.5.13.0023). Pela tese fixada, a exigência é ilegítima e caracteriza lesão moral quando tiver caráter discriminatório ou não se apoiar em previsão legal, na natureza do ofício ou no grau especial de confiança que a função requer. É legítima, ao contrário, em atividades como o trabalho doméstico, o cuidado de crianças, idosos ou pessoas com deficiência, o transporte rodoviário de cargas, o serviço bancário e as funções que envolvem armas, substâncias tóxicas ou entorpecentes e informações sigilosas.

Sob a ótica da LGPD, as informações sobre condenações criminais não integram o rol de dados sensíveis do art. 5.º, II — o regulamento europeu as submete a regime próprio (art. 10) —, mas a necessidade e a tese do TST impõem cautela: registrar por que a função justifica a certidão, pedi-la só ao candidato pré-selecionado, restringir o acesso e não retê-la além do necessário.

Dados sensíveis: saúde ocupacional, atestados e biometria

O setor de pessoal costuma concentrar o maior volume de dados sensíveis da organização. A diretriz central é a segregação: cada informação deve circular apenas entre quem dela precisa para cumprir uma obrigação definida. O regime geral desses dados, com exemplos e bases legais, está no artigo sobre dados sensíveis na LGPD.

Saúde ocupacional: exames, PCMSO e prontuário

Os exames admissional, periódico e demissional são obrigatórios (art. 168 da CLT) e integram o Programa de Controle Médico de Saúde Ocupacional (PCMSO), disciplinado pela NR-7; o gerenciamento de riscos ocupacionais, que substituiu o antigo PPRA, está hoje na NR-1. O médico conhece o diagnóstico, protegido pelo sigilo profissional; o empregador recebe o atestado de saúde ocupacional (ASO), que informa apenas a aptidão ou inaptidão para a função. O prontuário, sob a responsabilidade do médico do PCMSO, deve ser conservado por, no mínimo, 20 anos após o desligamento (NR-7). O serviço médico não é controlador autônomo: o controlador é o empregador, que deve impedir gestores e o próprio RH de acessar o conteúdo clínico.

Atestados médicos e CID

O atestado que justifica a falta traz, muitas vezes, o código da doença na Classificação Internacional de Doenças (CID), dado de saúde e, portanto, sensível. As normas do Conselho Federal de Medicina condicionam, em regra, a inclusão do diagnóstico no atestado à solicitação ou à autorização do paciente. Exigir o CID como condição para aceitar o atestado é, por isso, prática de alto risco. Quando o empregado opta por informá-lo, o documento deve ser tratado com base no art. 11, II, a e d, arquivado em ambiente restrito e acessível apenas a quem processa a folha e o afastamento; ao gestor imediato basta saber que a ausência foi justificada.

Os primeiros 15 dias de afastamento por doença são pagos pela empresa (art. 60, § 3.º, da Lei n. 8.213/1991); a partir do 16.º dia, a incapacidade passa a ser examinada pelo INSS para a concessão do auxílio por incapacidade temporária (auxílio-doença), inclusive por análise documental no Atestmed. As comunicações internas sobre o afastamento devem omitir o diagnóstico.

Biometria no controle de ponto

Estabelecimentos com mais de 20 trabalhadores devem anotar a hora de entrada e de saída, em registro manual, mecânico ou eletrônico (art. 74, § 2.º, da CLT), e a regulamentação do Ministério do Trabalho disciplina os sistemas de registro eletrônico. A lei exige o registro da jornada, não a biometria: a impressão digital ou o reconhecimento facial são uma escolha do empregador para evitar fraudes na marcação. Por isso, a base legal mais consistente para o ponto biométrico é a do art. 11, II, g — prevenção à fraude e segurança do titular em processos de identificação e autenticação —, e não propriamente a obrigação legal, que poderia ser cumprida por outros meios.

Essa escolha exige informar a finalidade exclusiva da coleta, armazenar o modelo biométrico criptografado e segregado, vedar outros usos — como rastrear deslocamentos ou medir produtividade — e eliminá-lo ao fim do contrato, preservando só os registros de marcação. São esses registros que importam em uma ação de horas extras, na qual a falta de controle fidedigno pode atribuir ao empregador o ônus de provar a jornada.

Filiação sindical, origem racial e transparência salarial

O desconto em folha da mensalidade sindical depende de autorização do empregado (art. 545 da CLT), e a filiação sindical assim conhecida não pode servir a outro propósito (veja os limites gerais do desconto salarial). Raça ou etnia, em programas de diversidade, devem vir de autodeclaração voluntária. Os relatórios semestrais de transparência salarial, exigidos das empresas com 100 ou mais empregados pela Lei n. 14.611/2023, devem conter dados anonimizados e observar a LGPD; o Supremo Tribunal Federal confirmou a validade da lei em 14/05/2026 (ADIs 7.612 e 7.631 e ADC 92), tema ligado à equiparação salarial.

O empregador pode monitorar e-mail corporativo e equipamentos?

O poder de dirigir a prestação de serviços (art. 2.º da CLT) inclui fiscalizar o uso das ferramentas de trabalho, mas encontra limite na intimidade e no sigilo das comunicações (art. 5.º, X e XII, da Constituição). O precedente de referência do TST é o RR-613/2000-013-10-00.7 (1.ª Turma, Rel. Min. João Oreste Dalazen, DJ 10/06/2005), que tratou da dispensa por justa causa de empregado que usava a conta corporativa para divulgar material pornográfico: o e-mail corporativo, fornecido pela empresa para o trabalho, foi considerado ferramenta de trabalho, cujo exame pelo empregador não gera prova ilícita, ao passo que o e-mail pessoal do empregado permanece protegido pela garantia do sigilo.

A LGPD acrescenta transparência e proporcionalidade: o monitoramento deve constar de política interna comunicada antes de começar, indicar o que é coletado e para quê, e limitar-se ao necessário. O legítimo interesse sustenta a fiscalização de sistemas para segurança da informação, mas dificilmente a leitura sistemática de conversas, programas que capturam tudo o que é digitado ou câmeras voltadas permanentemente para o posto de trabalho. Câmeras em áreas comuns são aceitas para fins de segurança; em banheiros, vestiários e áreas de descanso, violam a dignidade do empregado, na mesma linha dos limites ao controle do uso do banheiro.

No teletrabalho (art. 75-B da CLT), o computador da empresa pode ser fiscalizado nos mesmos termos, mas o ambiente doméstico amplia o risco de captar a vida familiar: convém vedar o acionamento remoto de câmera e microfone, restringir a geolocalização ao horário de trabalho e excluir do monitoramento o dispositivo pessoal. Os deveres de ergonomia no trabalho remoto estão no artigo sobre a NR-17 no teletrabalho.

Por quanto tempo guardar os dados de empregados e ex-empregados?

O tratamento termina quando a finalidade é alcançada, e os dados devem então ser eliminados (arts. 15 e 16 da LGPD). A conservação é autorizada, entre outras hipóteses, para o cumprimento de obrigação legal ou regulatória (art. 16, I); a guarda para defesa em eventual processo apoia-se no exercício regular de direitos (art. 7.º, VI). Esses fundamentos não permitem guardar tudo indefinidamente: cada categoria de documento deve ter um prazo, definido em tabela de temporalidade, com eliminação segura ou anonimização ao final.

Dois cuidados completam a política. As ações que têm por objeto apenas anotações para prova junto à Previdência Social não se sujeitam à prescrição trabalhista (art. 11, § 1.º, da CLT), o que justifica conservar por mais tempo os registros que comprovam o vínculo e a remuneração. E documentos ambientais, como o PPP e o LTCAT, podem ser pedidos pelo ex-empregado anos depois para comprovar atividade especial perante o INSS, de modo que sua eliminação precoce gera risco para ambas as partes.

Cláusula de proteção de dados no contrato de trabalho: o que incluir

A LGPD não obriga a inserir cláusula específica no contrato de trabalho, mas exige que o titular tenha acesso facilitado a informações claras, adequadas e ostensivas sobre o tratamento: finalidade, forma e duração, identificação e contato do controlador, uso compartilhado, responsabilidades dos agentes e direitos do titular (art. 9.º). O mais eficiente é combinar uma cláusula curta com um aviso de privacidade do empregado, atualizável sem aditivo, e guardar o recibo de entrega como prova.

A cláusula não deve ser uma autorização genérica para tratar quaisquer dados: o consentimento dado como condição do emprego não é livre, e a empresa passaria a depender de base revogável. Uma cláusula adequada costuma abordar:

• as categorias de dados tratados ao longo do contrato, inclusive dados sensíveis, quando houver;
• as finalidades e as bases legais correspondentes, com remissão ao aviso de privacidade;
• os destinatários habituais: eSocial e órgãos públicos, administradoras de benefícios, contabilidade e fornecedores de sistemas;
• a eventual transferência internacional, quando a empresa integra grupo estrangeiro ou usa sistemas hospedados no exterior;
• os prazos ou critérios de guarda após o término do contrato;
• os direitos do art. 18 e o canal do encarregado para exercê-los;
• os deveres do empregado quanto aos dados pessoais de colegas, clientes e fornecedores a que tenha acesso, inclusive o sigilo após o desligamento.

O último item merece atenção: o empregado que copia bases de clientes ou as leva a um concorrente expõe o empregador a sanções. A cláusula, com políticas e treinamento, fundamenta medidas disciplinares e, nos casos graves, a dispensa por justa causa por violação de segredo da empresa ou por ato de indisciplina (art. 482, g e h, da CLT). Um exemplo de redação, a ser adaptado à realidade de cada empresa:

“O EMPREGADOR tratará os dados pessoais do EMPREGADO, inclusive dados sensíveis, somente para as finalidades descritas no Aviso de Privacidade do Empregado entregue nesta data, com fundamento nas hipóteses dos arts. 7.º e 11 da Lei n. 13.709/2018. O EMPREGADO tratará os dados pessoais a que tiver acesso em razão de suas funções exclusivamente conforme as políticas e instruções do EMPREGADOR, mantendo sigilo sobre eles durante e após a vigência deste contrato.”

Incidentes, encarregado e direitos do empregado

Comunicação de incidentes de segurança

Holerites enviados ao destinatário errado, planilhas de folha expostas e contas do RH invadidas por phishing são incidentes típicos. O controlador deve comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante (art. 48). O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD n. 15/2024) fixou o prazo de 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, admitida a complementação posterior das informações. O envolvimento de dados sensíveis, como atestados e resultados de exames, pesa na avaliação do risco, e a empresa deve manter registro de todos os incidentes, inclusive dos que não forem comunicados.

Encarregado pelo tratamento de dados

O encarregado (DPO) é o canal de comunicação entre o controlador, os titulares e a ANPD, e sua identidade e contato devem ser divulgados publicamente, de preferência no site da empresa (art. 41, § 1.º). A Resolução CD/ANPD n. 18/2024 regulamentou a função: a indicação deve ser formalizada por ato do agente de tratamento, pode recair sobre empregado ou prestador externo, pessoa física ou jurídica, e deve evitar conflito de interesses com funções que decidem sobre o próprio tratamento. Agentes de tratamento de pequeno porte podem ser dispensados da indicação, desde que mantenham canal de comunicação com o titular (Resolução CD/ANPD n. 2/2022). O canal deve ser divulgado também internamente.

Direitos do empregado como titular

Empregados e ex-empregados podem pedir a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos ou desatualizados, a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos, informações sobre o compartilhamento e a revisão de decisões automatizadas (arts. 18 e 20). A confirmação e o acesso devem ser fornecidos de imediato, em formato simplificado, ou por declaração completa em até 15 dias do requerimento (art. 19). O pedido se dirige ao próprio empregador e não se confunde com o habeas data, ação constitucional voltada a registros de entidades governamentais ou de caráter público. Pedidos feitos às vésperas de uma reclamação trabalhista também devem ser respondidos no prazo, resguardados os segredos comercial e industrial.

Fornecedores e transferência internacional

Sistemas de folha, ponto e benefícios e escritórios de contabilidade tratam dados de empregados em nome do empregador, na condição de operadores, e devem seguir suas instruções (art. 39); o operador responde solidariamente quando descumpre a lei ou as instruções lícitas recebidas (art. 42, § 1.º, I). Os contratos devem tratar de segurança, subcontratação, incidentes e eliminação dos dados ao final. A operadora de plano de saúde costuma ser controladora dos dados assistenciais, que não devem chegar ao empregador. Quando a empresa integra grupo estrangeiro ou usa sistemas hospedados fora do país, o envio de dados ao exterior exige um dos mecanismos do art. 33, como as cláusulas-padrão aprovadas pela Resolução CD/ANPD n. 19/2024, tema detalhado no artigo sobre LGPD para empresas estrangeiras.

Sanções e responsabilidade pela LGPD nas relações de trabalho

A fiscalização administrativa cabe à ANPD, que a Lei n. 15.352, de 25 de fevereiro de 2026, resultante da MP n. 1.317/2025, transformou em Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, mantida a sigla. As sanções do art. 52 vão da advertência à proibição das atividades de tratamento e incluem multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, multa diária, publicização, bloqueio e eliminação dos dados e suspensão do banco de dados ou da atividade por até seis meses, prorrogáveis. A dosimetria segue a Resolução CD/ANPD n. 4/2023, e os critérios de cálculo estão no artigo sobre a multa da LGPD.

Na esfera trabalhista, a Justiça do Trabalho é competente para as ações de indenização por dano moral ou patrimonial decorrentes da relação de trabalho (art. 114, VI, da Constituição), e a intimidade e a imagem estão entre os bens extrapatrimoniais tutelados pela CLT (art. 223-C). O art. 42 da LGPD obriga o controlador e o operador a reparar o dano causado pelo tratamento irregular, e seu § 2.º permite ao juiz inverter o ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência para a produção de prova ou esta for excessivamente onerosa. A natureza dessa responsabilidade — objetiva ou dependente da violação de um dever, como o de segurança (art. 44) — é debatida, e a inversão não é automática; a empresa deve poder demonstrar as medidas adotadas. Expor diagnósticos, usar biometria para vigilância ou exigir antecedentes sem justificativa são as situações de risco mais evidente.

Perguntas frequentes sobre LGPD nas relações de trabalho

O empregador precisa do consentimento do empregado para tratar seus dados?

Em regra, não. A maior parte dos tratamentos se apoia no cumprimento de obrigação legal, na execução do contrato, no exercício regular de direitos ou no legítimo interesse (art. 7.º da LGPD), e os dados sensíveis, nas hipóteses do art. 11. O consentimento deve ficar restrito a iniciativas opcionais, porque a subordinação compromete a liberdade da manifestação e ele pode ser revogado a qualquer momento.

É obrigatório incluir cláusula de proteção de dados no contrato de trabalho?

Não há exigência legal de cláusula específica, mas o empregador deve informar o empregado com clareza sobre finalidades, compartilhamentos, prazos e direitos (art. 9.º da LGPD). A combinação de uma cláusula curta com um aviso de privacidade do empregado é a forma mais segura de cumprir e comprovar esse dever. A cláusula não deve ser redigida como consentimento genérico.

A empresa pode exigir o CID no atestado médico?

Não deve condicionar a aceitação do atestado à indicação do CID. O código é dado de saúde, sensível pela LGPD, e as normas do Conselho Federal de Medicina condicionam, em regra, sua inclusão no atestado à solicitação ou à autorização do paciente. Quando o empregado o informa, o atestado deve ficar restrito a quem processa a folha e o afastamento.

O empregador pode exigir certidão de antecedentes criminais?

Somente quando a exigência se justificar por previsão legal, pela natureza da função ou pelo grau especial de confiança exigido, conforme a tese fixada pelo TST no IRR-243000-58.2013.5.13.0023. Fora dessas hipóteses, a exigência é ilegítima e caracteriza lesão moral. São exemplos de exigência legítima as funções de cuidador, motorista de carga, bancário e as que lidam com armas ou informações sigilosas.

A empresa pode monitorar o e-mail corporativo do empregado?

Sim. O TST considera o e-mail corporativo ferramenta de trabalho e admitiu como lícita a prova obtida pelo empregador nessa conta (RR-613/2000-013-10-00.7, 1.ª Turma, 2005). Pela LGPD, o monitoramento deve ser informado previamente em política interna e limitado ao necessário, e o e-mail pessoal do empregado continua protegido pelo sigilo.

Por quanto tempo a empresa deve guardar os dados de ex-empregados?

Depende do documento. Os registros do contrato costumam ser mantidos ao menos enquanto não prescritas as pretensões trabalhistas (5 anos, até o limite de 2 anos após o fim do contrato), os documentos previdenciários e tributários até a prescrição dos créditos correspondentes e o prontuário médico ocupacional por, no mínimo, 20 anos após o desligamento. Dados sem fundamento de guarda devem ser eliminados.

Qual o prazo para comunicar um vazamento de dados de empregados?

Quando o incidente puder acarretar risco ou dano relevante, o empregador deve comunicá-lo à ANPD e aos empregados afetados em 3 dias úteis, contados do conhecimento de que dados pessoais foram atingidos (Resolução CD/ANPD n. 15/2024). As informações podem ser complementadas depois, e todos os incidentes devem ser registrados internamente.

Conclusão

A LGPD nas relações de trabalho obriga a revisar, sob a ótica da finalidade, da necessidade e da segurança, rotinas antigas do setor de pessoal. Identificar a base legal de cada tratamento, segregar os dados de saúde, justificar a certidão de antecedentes, informar o monitoramento, manter tabela de temporalidade e estar pronto para comunicar incidentes em 3 dias úteis reduz tanto o risco perante a ANPD quanto o passivo trabalhista; a cláusula contratual com aviso de privacidade é o ponto de partida documental.

Principais pontos deste artigo:

• O empregador é controlador dos dados de candidatos, empregados e ex-empregados e precisa de base legal para cada tratamento.
• Obrigação legal, execução do contrato, exercício de direitos e legítimo interesse são as bases centrais; o consentimento é exceção.
• Saúde, biometria e filiação sindical seguem o art. 11, que não admite legítimo interesse; o ponto biométrico se apoia, em regra, na prevenção à fraude.
• A certidão de antecedentes só é legítima nas hipóteses da tese do TST (IRR-243000-58.2013.5.13.0023).
• Incidentes relevantes devem ser comunicados em 3 dias úteis; a multa chega a 2% do faturamento, limitada a R$ 50 milhões por infração.
• A cláusula contratual deve informar e atribuir deveres de sigilo ao empregado, sem depender de consentimento genérico.

Leia também

• LGPD para empresas: obrigações, sanções e como se adequar
• Dados sensíveis na LGPD: o que são, exemplos e bases legais
• Multa LGPD: valor, sanções da ANPD e como é calculada
• LGPD para empresas estrangeiras: transferências, ANPD e GDPR
• Habeas data: o que é, quando cabe, como impetrar e LGPD
• Inteligência artificial na advocacia: ética, sigilo e LGPD

Veja todo o conteúdo da área de LGPD e Proteção de Dados.