Em muitas empresas brasileiras, a conversa sobre LGPD ainda fica restrita ao marketing e ao cadastro de clientes. Só que, na rotina de SST, o risco é maior: dados de saúde são dados pessoais sensíveis e circulam diariamente entre RH, SESMT, clínicas ocupacionais, filiais e sistemas que alimentam obrigações trabalhistas. Quando esse fluxo não é governado, a empresa não só se expõe a incidentes e sanções — ela também perde tempo com retrabalho, inconsistências e disputas internas sobre “quem pode ver o quê”.

Para quem busca critérios práticos, a pergunta central é simples: o que a LGPD exige, na prática, para a gestão de dados de saúde dos funcionários? A resposta passa por três pilares: finalidade clara, controles de acesso e rastreabilidade. E, cada vez mais, por processos digitais que reduzam cópias paralelas e planilhas soltas.

O que a LGPD considera dado sensível — e por que SST entra direto nessa categoria

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) trata como sensíveis informações sobre saúde, incluindo resultados de exames, histórico clínico ocupacional, aptidão/inaptidão, restrições, laudos e registros correlatos. Na prática, isso aparece em documentos e rotinas como ASO, PCMSO, prontuários, exames complementares e relatórios de atendimento.

O ponto crítico é que, mesmo quando a empresa “não guarda o exame”, ela costuma guardar metadados que também são sensíveis: datas, tipo de exame, indicação de acompanhamento, restrições e encaminhamentos. Por isso, a governança precisa cobrir o ciclo completo: coleta, armazenamento, compartilhamento, acesso e descarte.

Para referência oficial, vale consultar a própria lei no portal do Planalto: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm.

Bases legais: não é “consentimento” por padrão

Um erro comum é tentar resolver tudo com um termo de consentimento genérico. Em relações de trabalho, consentimento pode ser frágil por causa do desequilíbrio entre as partes. A LGPD prevê outras hipóteses que costumam sustentar o tratamento de dados em SST, como cumprimento de obrigação legal/regulatória e tutela da saúde, a depender do caso e do desenho do processo.

O critério prático aqui é: documente a finalidade e a base legal por tipo de dado e por etapa. Exemplo: “agendamento e controle de exames ocupacionais” é uma finalidade; “compartilhamento do ASO com o RH para fins de registro e gestão de aptidão” é outra. Quanto mais específico, menor o risco de uso indevido e de acesso excessivo.

Controlador, operador e encarregado: quem responde pelo quê

Na cadeia de SST, é comum haver múltiplos atores:

• Empresa: geralmente atua como controladora dos dados dos empregados.
• Clínica de medicina ocupacional: pode atuar como operadora em parte do fluxo (quando trata dados em nome da empresa) e, em outras situações, como controladora (dependendo do serviço e das responsabilidades assumidas).
• Fornecedores de tecnologia: normalmente operadoras, com deveres contratuais de segurança e confidencialidade.

O que isso muda na prática? Contratos e aditivos precisam prever: finalidade, medidas de segurança, suboperadores, prazos de retenção, notificação de incidentes e regras de acesso. A Autoridade Nacional de Proteção de Dados (ANPD) concentra orientações e guias que ajudam a estruturar esse tema: https://www.gov.br/anpd/pt-br.

Princípios da LGPD aplicados ao dia a dia de SST (com exemplos objetivos)

Os princípios da LGPD parecem abstratos, mas viram decisões concretas na rotina:

• Finalidade e adequação: o RH precisa do resultado detalhado do exame? Em geral, precisa da aptidão e das restrições funcionais, não do diagnóstico.
• Necessidade (minimização): evite anexar laudos completos em e-mails ou pastas compartilhadas quando um registro estruturado resolve.
• Transparência: o trabalhador deve saber quais dados são coletados, por quê, por quanto tempo e com quem são compartilhados.
• Segurança e prevenção: acesso por perfil, criptografia, logs e backups deixam de ser “TI” e viram requisito de compliance.
• Responsabilização: se não há evidência (logs, trilhas, políticas), a empresa fica sem prova de diligência.

Os controles mínimos que a fiscalização e uma auditoria interna vão procurar

Não existe uma “lista única” que sirva para todos, mas há um conjunto de controles que, na prática, reduz risco e organiza a operação:

• Controle de acesso por função: RH vê aptidão e prazos; médico vê prontuário; gestor vê status e agenda, sem detalhes clínicos.
• Autenticação forte: senhas robustas e, quando possível, múltiplo fator.
• Criptografia: em trânsito (HTTPS) e, idealmente, em repouso.
• Logs e trilha de auditoria: quem acessou, alterou, exportou ou imprimiu.
• Backups e plano de continuidade: para não depender de “pasta no computador” ou HD externo.
• Segregação por CNPJ/filial: evita vazamento interno e confusão de base.
• Política de retenção e descarte: define prazos e elimina acúmulo desnecessário.

Quando esses controles não existem, o que aparece é o padrão conhecido: planilhas com exames, PDFs em pastas abertas, e-mails com anexos sensíveis e cópias em pendrive. Isso não é só risco de LGPD; é risco operacional.

Compartilhamento com clínica, contabilidade e matriz: como reduzir exposição sem “parar a empresa”

O gargalo costuma estar no compartilhamento. A empresa precisa operar: admitir, demitir, transferir, agendar exames, emitir ASO, manter PCMSO e responder auditorias. O caminho não é bloquear tudo, e sim padronizar o que circula e por qual canal.

Critérios práticos:

• Evite e-mail como repositório: e-mail é transporte, não arquivo. Se for inevitável, limite anexos e use links com controle de acesso e expiração.
• Defina “camadas” de informação: para RH/DP, aptidão e datas; para SESMT, riscos e medidas; para clínica, prontuário completo.
• Centralize a base: uma fonte única reduz cópias e divergências.

É aqui que um software de segurança do trabalho tende a fazer diferença: ao organizar perfis de acesso, registrar histórico e reduzir exportações manuais, a empresa diminui o “vazamento por rotina” — aquele que acontece sem má-fé, apenas por falta de processo.

Retenção e descarte: o risco do “arquivo eterno”

Guardar tudo para sempre parece prudente, mas pode ser o oposto: aumenta superfície de ataque, amplia o impacto de incidentes e dificulta atender solicitações internas com precisão. A LGPD exige que o tratamento seja limitado ao necessário para a finalidade e para obrigações legais/regulatórias aplicáveis.

Na prática, a empresa precisa de uma tabela de retenção alinhada com obrigações trabalhistas, previdenciárias e de saúde ocupacional, além de políticas internas. O ponto editorial aqui é: retenção não é “apagar”; é governar. Defina prazos, responsáveis e forma de descarte seguro (com registro).

Incidente de segurança: o que muda quando o dado é de saúde

Quando o incidente envolve dado sensível, o impacto reputacional e jurídico tende a ser maior. Por isso, além de prevenção, é essencial ter um plano de resposta: como identificar, conter, registrar evidências, comunicar internamente e avaliar necessidade de notificação conforme orientações da ANPD.

Se você precisa de um norte institucional sobre o tema, o portal da ANPD é o ponto de partida para guias e comunicados: https://www.gov.br/anpd/pt-br/assuntos.

Checklist prático (para o leitor que quer critério e ação)

• Mapeie onde dados de saúde entram (admissional, periódico, retorno, mudança de risco, demissional).
• Liste quais áreas acessam quais campos (não quais arquivos).
• Elimine planilhas paralelas e pastas abertas; substitua por base central com perfis.
• Formalize contratos com clínica e fornecedores (segurança, suboperadores, incidentes, retenção).
• Ative logs e revise acessos periodicamente (principalmente em filiais e alta rotatividade).
• Crie política de retenção e descarte com evidência de execução.
• Treine RH/SESMT para não compartilhar laudos completos quando não for necessário.

FAQ rápido sobre LGPD e dados de saúde em SST

Dados de ASO e exames ocupacionais são dados sensíveis?

Sim. Informações de saúde são dados pessoais sensíveis pela LGPD, exigindo controles mais rigorosos de acesso, segurança e finalidade.

Preciso de consentimento do funcionário para tratar dados de SST?

Nem sempre. Em SST, é comum haver tratamento por obrigação legal/regulatória e por tutela da saúde, entre outras hipóteses. O essencial é documentar a finalidade e a base legal adequada.

O RH pode acessar o prontuário completo?

Em geral, não é necessário. O RH costuma precisar de aptidão, restrições funcionais e prazos. Prontuário completo deve ficar restrito a profissionais autorizados e ao serviço de saúde ocupacional.

Qual é o maior erro de LGPD em SST no dia a dia?

Espalhar dados em múltiplos lugares (e-mail, planilhas, pastas compartilhadas) sem controle de acesso e sem trilha de auditoria. Isso aumenta vazamentos acidentais e dificulta provar conformidade.

Como tecnologia ajuda sem burocratizar a operação?

Centralizando a base, aplicando perfis de acesso, registrando logs e padronizando o fluxo com clínica e RH. O ganho é duplo: menos risco jurídico e menos retrabalho operacional.

Para aprofundar o contexto de compliance trabalhista e seus impactos na gestão, uma leitura complementar é: https://www.serasaexperian.com.br/conteudos/compliance-trabalhista/.