Confirmação
Saber se a empresa trata dados dele
A Lei 13.709/2018 vale para praticamente toda empresa que tem funcionário, cliente ou fornecedor pessoa física. O que muda entre uma construtora e uma loja não é a obrigação: é o volume e a sensibilidade do que se trata.
05.1 ciclo de vida
Todo dado tem um começo e deveria ter um fim
Coleta, uso, compartilhamento, armazenamento e eliminação. A maioria das empresas controla bem as duas primeiras etapas e nunca chegou à última — currículo de 2016, exame de colaborador desligado há cinco anos, planilha de visitantes de uma obra encerrada.
- Coleta — com base legal definida e finalidade declarada
- Uso — restrito à finalidade informada, com acesso mínimo necessário
- Compartilhamento — mapeado, com contrato ajustado
- Armazenamento — com controle de acesso e prazo definido
- Eliminação — ao fim do prazo ou da finalidade
05.2 fundamentos
Bases legais que mais aparecem em obra e indústria
Todo tratamento precisa de uma base do art. 7º. Consentimento é a mais frágil, porque pode ser revogado a qualquer momento — e raramente é a base correta na relação de emprego.
| Base legal | Exemplo típico | Cuidado |
|---|---|---|
| Obrigação legal ou regulatória | ASO, ficha de EPI, registro de treinamento de NR, eSocial | Guardar pelo prazo legal, não indefinidamente |
| Execução de contrato | Dados do colaborador para folha, do cliente para faturamento | Só o necessário para o contrato |
| Exercício regular de direito | Documentação preservada para defesa em processo trabalhista | Precisa de justificativa registrada |
| Legítimo interesse | Segurança patrimonial, prevenção a fraude | Exige teste de proporcionalidade documentado |
| Proteção da vida | Atendimento de emergência, acidente de trabalho | Restrito à situação concreta |
| Consentimento | Newsletter, uso de imagem em divulgação | Livre, informado e revogável — e precisa de prova |
Dado de saúde e biometria são dados pessoais sensíveis e seguem regras próprias (art. 11). Exame ocupacional, atestado e ponto biométrico entram nessa categoria.
05.3 o titular
Nove direitos que sua empresa precisa conseguir atender
Acesso
Receber cópia dos dados que a empresa tem
Correção
Corrigir dado incompleto ou desatualizado
Anonimização ou eliminação
De dado desnecessário, excessivo ou tratado em desconformidade
Portabilidade
Transferência a outro fornecedor, conforme regulamentação
Eliminação
Dos dados tratados com base em consentimento
Informação de compartilhamento
Com quem a empresa compartilhou os dados
Informação sobre não consentir
Quais são as consequências de negar
Revogação
Retirar o consentimento a qualquer momento
Na prática, o que falta quase sempre é o canal: um endereço publicado, alguém responsável por responder e um prazo controlado. Sem isso, o pedido chega pelo WhatsApp de alguém do RH e morre ali.
05.4 fiscalização
O papel da ANPD
A Autoridade Nacional de Proteção de Dados fiscaliza o cumprimento da lei, edita regulamentos e aplica sanções. Ela também é quem recebe a comunicação de incidente de segurança com dados pessoais.
O que pode ser aplicado
- Advertência com prazo para correção
- Multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração
- Multa diária, dentro do mesmo limite
- Publicização da infração
- Bloqueio ou eliminação dos dados envolvidos
- Suspensão parcial do banco de dados ou da atividade de tratamento
- Proibição parcial ou total do exercício da atividade
Comunicação de vazamento
Incidente de segurança que possa acarretar risco ou dano relevante aos titulares precisa ser comunicado à ANPD e aos titulares afetados. A Resolução CD/ANPD nº 15/2024 estabeleceu o prazo de 3 dias úteis, contados do conhecimento do incidente, e o formulário próprio de comunicação.
- Descrição dos dados atingidos e número de titulares
- Medidas técnicas de proteção que estavam em uso
- Riscos envolvidos e medidas adotadas
Prazos e regulamentos da ANPD mudam. Confirme a redação vigente antes de tomar decisão com efeito legal — o que entrego é a implantação técnica e de processo, não parecer jurídico.
05.5 o trabalho
Programa de adequação em cinco fases
1
Inventário
Levantamento de todo tratamento de dado pessoal: sistemas, planilhas, formulários, câmeras, grupos de mensagem e papel. Em obra, o volume costuma surpreender.
2
Base legal e finalidade
Cada tratamento recebe base legal, finalidade declarada e prazo de retenção. O que não tem justificativa entra na lista de eliminação.
3
Correção das exposições
Pasta compartilhada aberta demais, exame médico circulando por aplicativo de mensagem, sistema sem controle de acesso. É a fase que mais reduz risco real.
4
Documentos e canal
Aviso de privacidade, política de cookies, cláusulas com fornecedores operadores e canal de requisição do titular publicado e funcionando.
5
Treinamento e rotina
Quem trata dado precisa saber o que pode e o que não pode. Mais revisão periódica, porque processo muda e o inventário envelhece.
05.6 autoavaliação
Seis perguntas para responder agora
Se três ou mais respostas forem "não sei", a adequação já está atrasada.
Você sabe listar todos os lugares onde a empresa guarda dado de colaborador?
Sistema de RH, planilha do setor pessoal, pasta compartilhada, e-mail, grupo de mensagem, arquivo físico e backup. Se a lista não existe no papel, o inventário ainda não foi feito.
Existe um endereço publicado para o titular pedir os dados dele?
Precisa ser um canal identificado no site e nos documentos, com alguém responsável e prazo de resposta controlado.
Se um ex-funcionário pedir a exclusão dos dados hoje, você consegue responder?
A resposta muitas vezes é "não é possível excluir", por causa de obrigação legal de guarda — e isso é uma resposta válida, desde que fundamentada e informada ao titular.
Os fornecedores que acessam seus dados têm cláusula de proteção no contrato?
Contabilidade, clínica de exame ocupacional, empresa de ponto e provedor de sistema são operadores e precisam de previsão contratual.
Alguém sabe o que fazer nas primeiras horas de um vazamento?
Sem procedimento escrito, o prazo de comunicação passa enquanto a empresa decide quem chama.
O site tem aviso de privacidade que descreve o que realmente é feito?
Política copiada de outro site descreve o tratamento de outra empresa, e isso pesa contra na fiscalização.