Aplicação da LGPD na relação das empresas com seus colaboradores

A Lei Geral de Proteção de Dados, mais conhecida pela sigla LGPD, tem sido alvo de holofotes nos últimos dias.

Isso porque, apesar de ainda não ser obrigatória (o início de sua vigência foi adiado para o maio de 2021 pela Medida Provisória nº 959/2020), mas já tramita no Senado proposta de manter o início da vigência em 2020, apenas adiando para 2021 a aplicação de penalidades para aqueles que descumprirem a LGPD, tendo em vista a situação econômica e social gerada pela pandemia do novo Corona Vírus.

Isso não quer dizer que as empresas não precisem se preocupar com a LGPD hoje, pois, mesmo antes de serem aplicadas as penalidades administrativas, qualquer pessoa que tenha seus dados pessoais violados por outra pode pleitear judicialmente algum tipo de reparação.

Uma situação pouco comentada quando se fala de LGPD é a dos colaboradores das empresas. Sim, a LGPD também se aplica aos dados pessoais dos colaboradores de uma empresa, afinal ela é uma Lei Geral, o que quer dizer que se aplica a todos os tipos de relações jurídicas que envolvam tratamento de dados pessoais.

E quais cuidados as empresas devem ter quando se fala em proteção de dados de seus colaboradores?

A seguir, alguns exemplos de situações relevantes e algumas medidas práticas que podem ser adotadas de imediato, visando proteger os dados pessoais da sua equipe.

---

1. Processos seletivos e seleção de novos colaboradores

Quando se fala de colaboradores de uma empresa, não se pode esquecer o que ocorre antes de sua contratação.

Ao se iniciar um processo seletivo, a empresa geralmente elabora um perfil da vaga e divulga em diversos canais de comunicação. Até aí, tudo bem, pois não há compartilhamento de dados de um indivíduo específico, mas de uma vaga aberta na empresa.

Ao receber currículos de candidatos, a empresa realiza um tipo de tratamento de dados: a coleta. Ela recebe inúmeros dados pessoais de pessoas que ainda nem conhece. Mesmo sem um contrato escrito com os candidatos, eles já são titulares de dados pessoais e, de acordo com a LGPD, possuem direito à proteção desses dados. Nome completo, endereço, número de telefone, e-mail, experiência profissional, dentre outros, todos devem ser guardados de maneira a respeitar a LGPD. deve-se tomar bastante cuidado com o compartilhamento desses dados.

Prática comum nas empresas é buscar referências sobre um candidato com outras empresas que estejam listadas no currículo como antigos empregadores. Nesse caso, haverá um tipo de compartilhamento de dados, o que somente poderá ser realizado caso haja consentimento expresso do candidato (existem algumas situações em que não será necessário o consentimento, mas, via de regra, colher o consentimento é a forma mais segura de uma empresa se resguardar).

- Uma medida que pode ajudar a empresa a se resguardar é, sempre antes de iniciar o processo seletivo, informar aos candidatos que os dados poderão ser utilizados para fins de colher referências profissionais, deixando claro para os titulares dos dados a finalidade do tratamento.

Outra prática bastante comum em processos seletivos é a contratação de uma empresa especializada em recrutamento, empresa esta que terá igualmente acesso aos dados pessoais, mesmo que o candidato muitas vezes nem saiba que ela existe. Nessa situação, além de colher o consentimento do candidato, a empresa contratante deverá resguardar-se sobre o cumprimento da LGPD também pela empresa terceirizada, pois caso haja algum incidente, ambas poderão responder pelo prejuízo.

- Uma medida simples a se fazer para colher o consentimento do candidato para o compartilhamento dos dados é disponibilizar a eles um termo de compromisso, informando sobre as etapas do processo, as datas da seleção e, além disso, informando que ao assinar o candidato concorda que seus dados sejam compartilhados, apenas para esse fim específico (é importante também que o consentimento seja específico, não se aceita consentimento genérico);

- Já para resguardar-se quanto à empresa contratada, uma medida relevante é, além de buscar conhecer qual a política de privacidade e proteção de dados pessoais daquela outra empresa, possuir um contrato com ela, em que haja expressamente as responsabilidades de proteção de dados a ela exigidas.

---

2. Admissão do colaborador

Passado o processo seletivo, ao se contratar o colaborador, a empresa precisa colher dele diversos dados pessoais, seja os básicos (nome, RG, CPF, endereço, telefone, e-mail), seja também dados mais complexos e sensíveis (dados dos dependentes - que podem ser cônjuge, filhos, por exemplo - dados financeiros e dados médicos, por exemplo obtidos com o exame médico admissional).

Nessa situação, o consentimento é claro, pois o colaborador somente poderá iniciar seu trabalho caso forneça os dados. Mesmo assim, existe outra base legal para esse tratamento de dados, que é o cumprimento de obrigação legal, afinal o empregador deverá informar esses dados do colaborador aos sistemas administrativos exigidos em lei (por exemplo, e-social).

Mas, não por ser uma obrigação legal que o empregador deixará de ter cuidados com esses dados de seus colaboradores. Por isso, todo armazenamento de dados pessoais de colaboradores deve ser protegido contra vazamentos, bem como devem ser de acesso apenas daquelas pessoas responsáveis por tais obrigações legais, sem que haja exposição desnecessária desses dados a terceiros.

Em relação principalmente aos dados dos dependentes do colaborador (terceiros), o cuidado deve ser extremo, pois jamais foi obtido o consentimento desses terceiros, mas apenas foram repassados para fins de concretizar algum tipo de benefício ou cadastro nos órgãos competentes. Compartilhar esses dados pessoais de terceiros para finalidades diversas pode gerar prejuízos maiores até do que se fossem os dados do próprio colaborador, apesar de em ambas as situações é uma atitude proibida.

- Medida importante que deve ser adotada para garantir a proteção dos dados pessoais dos colaboradores e de terceiros é capacitar os setores responsáveis por esse relacionamento e tratamento de dados, por exemplo Departamento Pessoal, Recursos Humanos, Financeiro). Tais setores precisam, mais do que outros na empresa, ter o conhecimento amplo sobre a legislação de proteção de dados pessoais, principalmente nos aspectos práticos do que pode e do que não pode ser feito. Além disso, é necessário restringir o acesso dessas informações apenas aos setores estritamente necessários para tanto, evitando-se compartilhamento desnecessário de dados pessoais.

---

3. Apresentação de atestados médicos e de necessidades especiais de colaboradores

Nesse ponto, o cuidado deve ser redobrado. Afinal, quando se fala em dados que envolvam saúde e condições especiais de colaboradores (pessoas com deficiência, portadores de necessidades especiais), tratam-se de dados pessoais sensíveis.

Dados sensíveis são aqueles que, de tão importantes e íntimos àquela pessoa, podem gerar algum tipo de discriminação ou tratamento diferenciado por terceiros, possuindo maior proteção do que os demais dados pessoais.

Por isso, quaisquer atestados médicos apresentados pelos colaboradores, mesmo que seja apenas de uma gripe ou enxaqueca, devem ser guardados e mantidos em sigilo dos demais, evitando que outros colaboradores tenham acesso desnecessário a eles. Também não será possível compartilhar esses documentos e essas informações para terceiros, a não ser que, por exemplo, (i) haja o consentimento específico do colaborador ou (ii) haja uma obrigação legal (por exemplo, o compartilhamento com o INSS, quando for necessário para fins de recebimento de benefício previdenciário pelo colaborador).

- Medida importante, nesse caso, é a manutenção desses atestados e demais documentos em servidores de arquivos seguros, com a proteção de senha, permitindo o acesso apenas àquelas pessoas autorizadas para o tratamento desses dados.

- Além disso, deve-se evitar a divulgação desses dados pessoais verbalmente, pois mesmo que se armazenem os documentos, a disseminação de boatos e comentários dentro da empresa sobre aquela situação clínica ou condição especial que possa gerar algum tipo de discriminação pode interferir na esfera da privacidade do colaborador, de modo que a empresa poderá ser responsabilizada tanto pelo fundamento de descumprimento à LGPD, quanto pelo descumprimento a direitos básicos previstos na CLT ou na Constituição Federal, podendo resultar em indenizações e punições graves e que devem ser evitadas pelas empresas.

Esses são apenas exemplos de situações trabalhistas que envolvem a aplicação da LGPD, mas existem uma série de outras.

A adequação de uma empresa ao que diz a LGPD deve ser realizada por completo. Não basta proteger os canais virtuais de sua empresa, protegendo seus consumidores, quando as situações internas estão fragilizadas, pois da mesma forma podem gerar incidentes de dados pessoais e, assim, causar situações desconfortáveis ou até mesmo punições e sanções administrativas, civis e até criminais.

Por isso, é importante a busca por profissionais que busquem entender todo o contexto da empresa, que façam entrevistas para conhecer os processos gerenciais, promova capacitações com os colaboradores ensinando boas práticas de proteção e dados e reestruture os contratos existentes.