Um departamento de RH concentra, sem perceber o tamanho disso no dia a dia, boa parte das categorias de dado que a LGPD classifica como sensível. Atestado médico com CID, exame ocupacional, biometria usada no ponto eletrônico, informação de PCD, eventual filiação sindical: cada um desses itens está no art. 5º, II, da lei, junto com origem racial, convicção religiosa e opinião política, exatamente porque um vazamento ou uso indevido desse tipo de dado pode gerar discriminação e dano real à pessoa, não apenas constrangimento. Proteger esse dado é uma exigência legal específica, com regra mais rígida do que a que vale para um dado pessoal comum, e ela começa muito antes de qualquer log de auditoria: começa em quem tem acesso ao dado, e em como esse dado fica armazenado.
O que conta como dado sensível dentro do RH
Vale separar com clareza o que é dado pessoal comum do que é dado sensível dentro da rotina de DP e RH, porque o tratamento jurídico exigido para cada categoria é diferente.
| Categoria de dado | Exemplo dentro do RH | Por que é sensível |
|---|---|---|
| Saúde | Atestado com CID, exame admissional/periódico, afastamento por doença | Pode revelar condição de saúde que gere discriminação em promoção ou permanência |
| Biometria | Digital ou reconhecimento facial usado no ponto eletrônico | Dado biométrico é único e permanente; não pode ser "trocado" como uma senha vazada |
| Filiação sindical | Contribuição sindical, cargo em diretoria de sindicato | Pode expor posicionamento político-trabalhista do colaborador |
| Dado bancário | Conta para pagamento de salário, dados de pensão alimentícia | Não é sensível no sentido do art. 5º, II, mas exige o mesmo nível de proteção técnica por risco financeiro direto |
Dado bancário, tecnicamente, não está na lista do art. 5º, II, mas merece o mesmo cuidado prático, porque o risco de dano em caso de vazamento é igualmente concreto. Tratar como sensível na prática, mesmo quando a lei não exige formalmente essa classificação, é uma decisão de segurança razoável, não um excesso de zelo.
A base legal para tratar dado sensível é mais estreita
O art. 11 da LGPD lista as hipóteses em que dado sensível pode ser tratado, e essa lista é mais restrita do que a hipótese equivalente para dado comum. Consentimento específico e destacado, cumprimento de obrigação legal ou regulatória pelo controlador, ou tratamento necessário para proteção da vida ou da incolumidade física do titular ou de terceiro estão entre elas. Na prática do RH, isso significa que armazenar um atestado médico ou um exame ocupacional se apoia principalmente no cumprimento de obrigação legal e regulatória, já que a legislação trabalhista e de segurança do trabalho exige esse controle, e não simplesmente porque "a empresa achou útil guardar".
Quem deveria acessar o quê, e por quê
O erro mais comum em segurança de dado de RH não é falta de criptografia ou de firewall. É acesso amplo demais, concedido por comodidade, para pessoas que não precisam daquele dado específico para fazer o próprio trabalho. Um analista de recrutamento não tem motivo para ver o CID de um atestado de outro setor; um operador financeiro não precisa ver detalhe clínico de um exame ocupacional para processar o pagamento de um afastamento.
O princípio que resolve isso é o de menor privilégio necessário: cada papel dentro do RH e do DP deveria ter acesso apenas ao recorte de dado que a própria função exige, não ao conjunto inteiro por padrão. Médico do trabalho acessa afastamento e exame; financeiro acessa folha e dado bancário; recrutamento acessa candidato e vaga. Dado de saúde, especificamente, tem lógica de aumentar restrição, não de reduzir: quanto mais sensível a categoria, menor deveria ser o número de pessoas com acesso a ela por padrão, ajustando módulo a módulo, e não concedendo acesso amplo esperando que a boa conduta de cada pessoa seja o único filtro.
Proteção do dado em si, não só do acesso a ele
Controlar quem acessa é a primeira camada, mas não é a única. O dado em si precisa estar protegido mesmo se um controle de acesso falhar em algum ponto, o que na prática significa três coisas concretas: dado bancário e outros dados especialmente sensíveis armazenados de forma criptografada em repouso, biometria processada sem retenção de material bruto além do estritamente necessário para a verificação, e autenticação forte, como segundo fator, exigida de quem opera qualquer conta com acesso a esse tipo de dado.
Vale reforçar um ponto sobre biometria especificamente: o ideal é que a verificação aconteça sem guardar o vídeo ou a imagem original além do tempo mínimo necessário para o processamento. Reter esse material de forma permanente é um risco desproporcional ao benefício, porque, diferente de uma senha, o rosto ou a digital de uma pessoa não pode ser trocado depois de um vazamento.
O que fazer quando um incidente de segurança acontece
O art. 48 da LGPD obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de um incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A lei fala em comunicação em prazo razoável, com os detalhes de prazo e formato definidos por regulamento próprio da ANPD, que deve ser consultado atualizado no momento em que um incidente real acontecer, já que esse tipo de norma técnica é revisado com frequência.
O que a lei já deixa claro, no próprio art. 48, é o conteúdo mínimo que essa comunicação precisa ter:
| O que a comunicação precisa informar |
|---|
| A natureza dos dados pessoais afetados pelo incidente |
| Quais titulares foram envolvidos |
| As medidas técnicas e de segurança usadas para proteger o dado, respeitado sigilo comercial e industrial |
| Os riscos relacionados ao incidente |
| Os motivos de eventual demora na comunicação, se ela não foi imediata |
| As medidas adotadas ou planejadas para reverter ou mitigar o prejuízo |
Não comunicar um incidente relevante, ou comunicar de forma incompleta, é uma falha por si só, independente da causa original do incidente. A ANPD tem poder de aplicar sanção que vai de advertência a multa que pode chegar a 2% do faturamento da empresa no Brasil, limitada a um teto por infração, então a resposta a um incidente real não é opcional nem informal: precisa seguir um processo definido antes de o incidente acontecer, não improvisado no momento da crise.
Ter um plano antes de precisar dele
A pior hora para descobrir que não existe um processo de resposta a incidente é durante o incidente em si. Um plano mínimo define quem precisa ser avisado internamente primeiro, como isolar o acesso comprometido rapidamente, como avaliar quais titulares foram afetados e qual o risco real, e quem é responsável por redigir e enviar a comunicação formal à ANPD e aos titulares dentro do prazo aplicável. Sem esse plano, o tempo entre a descoberta do incidente e a comunicação formal tende a se alongar, e o próprio atraso já se torna um segundo problema, distinto do incidente original.
No ActaOne, dado bancário e outros dados sensíveis ficam criptografados em repouso, o acesso a cada módulo é controlado por permissão granular e enforçado na camada de dados via RLS, não só escondido na tela, e a biometria usada no reconhecimento facial do ponto é processada sem retenção de vídeo além do necessário para a verificação. Segurança de dado de RH não é um projeto que se conclui uma vez; é uma combinação constante entre restringir quem acessa o quê e proteger o dado em si, para que uma falha em uma camada não signifique exposição total quando a outra camada segura.