A LGPD classifica dados de saúde como sensíveis, exigindo bases legais específicas (consentimento, obrigação legal, proteção da vida, execução de contrato), implementação de medidas técnicas e administrativas, controle de acesso e princípios de minimização e transparência, além de garantir ao trabalhador direitos de acesso, correção e eliminação quando aplicável.
O que a Lei Geral de Proteção de Dados (LGPD) Diz Sobre Dados de Saúde no Trabalho. Você sabe quais informações sobre sua saúde o empregador pode coletar e como elas devem ser protegidas? Aqui explico com exemplos e passos práticos para você entender e agir.
Quais são os dados de saúde tratados no trabalho
No ambiente de trabalho, diversos dados de saúde podem ser coletados e tratados. Por serem sensíveis, exigem proteção e limites claros.
Exemplos comuns
- Atestados médicos e laudos: justificativas de falta, afastamentos e determinações sobre capacidade laboral.
- Exames admissionais, periódicos e demissionais: resultados que avaliam aptidão para funções.
- Prontuários e registros clínicos mantidos pelo serviço de saúde ocupacional.
- Resultados de exames laboratoriais e toxicológicos relacionados ao trabalho.
- Informações sobre doenças crônicas, deficiências e condições que afetam a atividade profissional.
- Histórico vacinal e imunizações exigidas pela função.
- Registros de acidentes de trabalho e comunicação de doenças ocupacionais.
- Dados de monitoramento ambiental e biológico sobre exposição a agentes nocivos.
- Relatórios sobre saúde mental, avaliação psicológica e programas de reabilitação.
Quem acessa e por quê
O acesso é restrito: médico do trabalho, equipe de saúde e segurança, e profissionais de RH quando necessário. O princípio da necessidade deve guiar quem pode ver cada dado. Terceiros só recebem informações com base legal ou autorização explícita.
Como devem ser tratados
Esses dados precisam de medidas técnicas e administrativas: controle de acesso, criptografia, armazenamento seguro e registros de auditoria. Sempre aplique a minimização de dados, guardando apenas o essencial pelo tempo necessário.
Usos permitidos no trabalho
Dados de saúde no trabalho servem para avaliar capacidade, cumprir obrigações legais, prevenir riscos, adaptar funções e gerir benefícios. Qualquer uso além disso exige base legal clara ou consentimento informado.
Quais bases legais permitem o tratamento desses dados
No ambiente de trabalho, o tratamento de dados de saúde só é permitido com bases legais claras. A LGPD define hipóteses específicas, principalmente porque esses são dados sensíveis que exigem proteção reforçada.
Bases legais relevantes
- Consentimento explícito: quando o trabalhador autoriza o uso de seus dados para finalidades específicas e informadas.
- Cumprimento de obrigação legal ou regulatória: para atender normas de segurança do trabalho, obrigações fiscais ou de seguridade social.
- Procedimentos de saúde e proteção da vida: tratamentos conduzidos por profissionais ou entidades de saúde, inclusive em prevenção e reabilitação.
- Exercício regular de direitos em processos judiciais ou administrativos e execução de contratos quando necessário.
- Pesquisa em saúde, desde que respeitados requisitos éticos e, sempre que possível, com anonimização.
Quando usar consentimento — e quando evitar
O consentimento é válido para tratamentos adicionais, como programas voluntários de bem‑estar. Porém, não é indicado quando a coleta decorre de obrigação legal ou para garantir segurança do trabalho. O trabalhador pode retirar o consentimento, mas essa retirada não invalida tratamentos realizados antes do pedido.
Bases que empregadores costumam adotar
Na prática, os empregadores fundamentam tratamentos em: cumprimento de obrigação legal (ex.: exames admissional e periódico), proteção da saúde coletiva no ambiente de trabalho e execução de contratos (gestão de benefícios). O uso do interesse legítimo é restrito para dados sensíveis e deve ser avaliado com cautela.
Boas práticas ao escolher a base legal
- Mapeie cada atividade que gera dados de saúde e associe uma base legal específica.
- Documente a justificativa legal e mantenha registros acessíveis para auditoria.
- Aplique minimização: colete apenas o necessário para a finalidade informada.
- Implemente medidas técnicas e administrativas: controle de acesso, criptografia e políticas de retenção.
- Quando usar consentimento, forneça informações claras e possibilite a retirada fácil.
- Consulte o DPO ou assessoria jurídica antes de compartilhar dados com terceiros.
Obrigações do empregador e medidas de segurança
O empregador tem responsabilidade direta pelo tratamento seguro dos dados de saúde dos trabalhadores. Essas obrigações visam proteger a privacidade e atender à LGPD, reduzindo riscos legais e reputacionais.
Medidas técnicas essenciais
- Controle de acesso: implemente autenticação forte, perfis com privilégios mínimos e revisão periódica de permissões.
- Criptografia em trânsito e em repouso para documentos e backups com dados sensíveis.
- Pseudonimização quando possível, para reduzir exposição direta de identificação.
- Sistemas atualizados, antivírus, firewalls e segmentação de rede para limitar acessos indevidos.
- Políticas de backup seguras e testes de restauração regulares.
- Descarte seguro de documentos e mídias físicas e digitais (procedimentos de limpeza e destruição).
Medidas administrativas e organizacionais
- Mapeamento de processamento: registre que dados são coletados, por que finalidade e por quanto tempo serão mantidos.
- Políticas e procedimentos escritos sobre tratamento, retenção e acesso a dados de saúde.
- Contratos com fornecedores/processadores que estabeleçam obrigações de segurança e confidencialidade.
- Indicação de responsável por proteção de dados (DPO) ou canal de contato para questões sobre privacidade.
- Treinamento regular para gestores, RH, TI e equipes de saúde ocupacional sobre conservação e sigilo dos dados.
- Revisões e auditorias periódicas para validar conformidade e corrigir falhas.
Procedimentos em caso de incidente
Tenha um plano claro de resposta a incidentes. As etapas devem incluir:
- Identificação e contenção imediata do incidente.
- Avaliação do impacto sobre os titulares e sobre a segurança dos dados.
- Registro detalhado do ocorrido e das ações tomadas.
- Notificação às autoridades competentes e aos titulares quando exigido pela legislação.
- Correção das falhas e ação preventiva para evitar recorrência.
Boas práticas operacionais
- Adote princípio da minimização: colete apenas o necessário para a finalidade informada.
- Classifique dados por sensibilidade e aplique controles proporcionais.
- Mantenha logs de acesso e operações sobre dados sensíveis para auditoria.
- Realize avaliações de impacto à proteção de dados (DPIA) para processos que envolvam risco elevado.
- Documente decisões sobre bases legais e mantenha transparência com os trabalhadores sobre usos e prazos de retenção.
- Implemente privacy by design em novos sistemas que lidam com dados de saúde.
Como o trabalhador exerce direitos e solicitações práticas
O trabalhador tem direitos sobre seus dados de saúde e pode fazer solicitações de forma prática e documentada. A LGPD garante acesso, correção, eliminação quando aplicável e portabilidade em alguns casos.
Passo a passo para solicitar
- Identifique o controlador dos dados (empresa ou serviço de saúde interno) e o canal oficial (e-mail, formulário ou portal).
- Descreva claramente o pedido: acesso, correção, eliminação, portabilidade ou retirada de consentimento.
- Anexe documento de identidade e, se necessário, procuração ou comprovante que justifique a solicitação.
- Envie a solicitação por escrito e guarde o comprovante (print, protocolo ou recibo).
- Aguarde a resposta da empresa; a lei prevê prazos e a obrigação de justificar negativa parcial ou total.
- Se a resposta for insatisfatória, registre reclamação junto à autoridade nacional (ANPD) ou busque orientação jurídica.
Exemplos práticos
- Quero ver meu prontuário ocupacional: peça acesso e peça cópia dos documentos relevantes.
- Houve erro em um laudo: solicite correção apontando o erro e anexando evidência médica.
- Desejo sair de um programa voluntário de saúde: peça a retirada do consentimento e confirme como seus dados serão tratados após isso.
Documentos e modelos úteis
Use um e-mail formal ou formulário padrão. Indique nome completo, CPF, cargo, período trabalhado e detalhe exato do pedido. Mantenha cópia da comunicação e do protocolo para acompanhar prazos.
O que a empresa deve fazer
A empresa deve registrar seu pedido, responder dentro do prazo legal e fornecer orientações sobre próximos passos. Se houver recusa, a justificativa deve ser clara e baseada em base legal. Em casos de risco à saúde coletiva ou obrigação legal, alguns dados podem ser mantidos mesmo após pedido de eliminação.
Principais cuidados com dados de saúde no trabalho
Em resumo, a LGPD exige tratamento seguro e justificativas claras para dados de saúde. Empregadores devem aplicar medidas técnicas e administrativas, e trabalhadores têm direitos de acesso e correção.
Adote práticas simples: solicite acesso por escrito, verifique a base legal usada e limite quem pode ver as informações. Guarde protocolos e procure o DPO ou suporte jurídico em caso de dúvida.
Agindo assim, você protege a privacidade, reduz riscos legais e ajuda a criar um ambiente de trabalho mais seguro e conforme a lei.
FAQ – LGPD e dados de saúde no trabalho
Que tipos de dados de saúde o empregador pode coletar?
O empregador pode coletar atestados, exames admissionais, periódicos e demissionais, prontuários ocupacionais, resultados de exames laboratoriais, histórico vacinal e registros de acidentes. A coleta deve ser necessária e justificada pela função ou legislação.
O empregador pode compartilhar meus dados de saúde com terceiros?
Só com base legal clara: obrigação legal, execução de contrato, consentimento ou proteção da vida. Terceiros precisam de contrato que garanta segurança e confidencialidade.
Preciso dar consentimento para exames obrigatórios?
Não necessariamente. Exames exigidos por lei ou normas de segurança do trabalho podem ser tratados sem consentimento. Programas voluntários de bem‑estar, sim, exigem consentimento informado.
Como solicitar acesso ou correção dos meus dados?
Identifique o controlador, envie pedido por e-mail ou formulário oficial, anexe documento de identidade e detalhe o pedido (acesso, correção, eliminação). Guarde o protocolo e acompanhe o prazo de resposta.
Posso pedir a exclusão dos meus dados de saúde?
Depende. Se a base legal for o consentimento, você pode pedir exclusão, salvo dados que a empresa deva reter por obrigação legal ou saúde coletiva. A empresa deve justificar eventuais recusas.
O que faço se meus dados forem vazados?
Notifique o empregador ou DPO imediatamente, peça registro do incidente e medidas de contenção. Se necessário, registre reclamação na ANPD e busque orientação jurídica para reparação e mitigação de danos.