A LGPD já não é mais novidade, mas em 2026 ela ganhou um novo peso: a ANPD virou oficialmente agência reguladora e colocou a fiscalização em ritmo mais intenso. Para o DP, que lida com dados de saúde, dados bancários e informações de dependentes o tempo todo, entender os princípios básicos da lei deixou de ser opcional.
Esse artigo traduz a LGPD para o dia a dia do Departamento Pessoal: o que muda na prática, quais dados exigem mais cuidado e o que fazer quando alguém pede acesso ou exclusão dos próprios dados.
Dados comuns x dados sensíveis
A LGPD trata dois grupos de dados de forma diferente. Dados comuns (nome, endereço, telefone) exigem cuidado básico de segurança e finalidade. Dados sensíveis exigem uma base legal mais restrita para tratamento.
| Categoria | Exemplos no DP |
|---|---|
| Dados comuns | Nome, endereço, telefone, dados bancários, cargo, salário |
| Dados sensíveis | Dados de saúde (ASO, atestados), biometria (ponto), origem racial, filiação sindical |
O Mapa de Temas Prioritários de Fiscalização 2026-2027, publicado pela ANPD, coloca dados biométricos, de saúde e financeiros como um dos eixos com mais ações previstas: 30 fiscalizações programadas para o período. Isso inclui diretamente empresas que tratam ASO, ponto biométrico e dados bancários de colaboradores.
Os três princípios que mais afetam o DP
Cada dado coletado precisa ter um propósito claro e declarado. Se não tem função definida no processo de DP, não deveria ser coletado.
Colete apenas o necessário para aquela finalidade específica, nem mais, nem menos.
No contexto trabalhista, a maior parte do tratamento de dados se justifica pela execução do contrato de trabalho e pelo cumprimento de obrigação legal, não por consentimento genérico.
O que fazer quando um colaborador pede acesso ou exclusão dos dados
A LGPD garante ao titular o direito de solicitar acesso aos próprios dados, correção de informações incorretas e, em alguns casos, exclusão. No contexto trabalhista, esse direito tem limites importantes.
Documentos com prazo legal de guarda, como a ficha de registro de empregado ou o ASO, não podem ser excluídos simplesmente porque o colaborador pediu. O cumprimento de obrigação legal é, em si, uma base legal válida para manter o dado guardado pelo prazo exigido.
O caminho correto é sempre avaliar a solicitação caso a caso: o que pode ser corrigido ou removido de fato, e o que precisa ser mantido por exigência legal, explicando isso de forma transparente ao colaborador que fez o pedido.
Quem pode acessar o quê dentro da empresa
Um dos pontos mais práticos da LGPD no DP é o controle de acesso interno. Nem todo gestor precisa ver o ASO de um colaborador. Nem todo colaborador precisa ver dados de outro colaborador da mesma equipe.
Isso reforça a importância de sistemas com controle de permissão por grupo de acesso, em vez de depender de planilhas compartilhadas ou pastas abertas para toda a empresa.
O cenário de fiscalização mudou
Até pouco tempo, a LGPD vivia uma fase de orientação, com poucas multas efetivas. Isso mudou. A ANPD se tornou agência reguladora com autonomia total, lançou um painel público de fiscalização e passou a atuar por setor inteiro, não mais caso a caso.
Para pequenas e médias empresas, isso significa que a antiga lógica de “isso é problema só de empresa grande” não se sustenta mais. O RIPD (Relatório de Impacto à Proteção de Dados) também deixou de ser recomendação e passou a ser esperado sempre que o tratamento envolve dados de alto risco, como dados de saúde em volume relevante.
Boas práticas que já resolvem boa parte do problema
- Documentar por escrito por que cada dado é coletado no processo de admissão e ao longo do contrato.
- Restringir o acesso a dados sensíveis (ASO, biometria) apenas a quem realmente precisa deles para o trabalho.
- Definir um processo simples e documentado para responder a pedidos de acesso ou correção de dados.
- Rever periodicamente quais dados ainda fazem sentido manter ativos versus o que já passou do prazo de guarda.
Controle de acesso pensado para dados sensíveis
A estrutura de permissões da Kiip já nasce pensando em restringir o acesso certo à informação certa, sem precisar de configuração complexa.
- Grupos de acesso por escopo: defina quem vê dados de quem, com escopos como “próprio colaborador”, “liderados diretos” ou “todos da empresa”, evitando exposição desnecessária.
- Permissões de visualização por campo: cada campo do diretório, incluindo dados sensíveis, pode ter sua própria regra de quem visualiza e quem edita.
- Grupos personalizados para acessos pontuais: consultores externos, como médicos do trabalho, podem ter acesso restrito apenas às informações relevantes para sua função.
- Rastreabilidade de documentos: cada documento gerado ou anexado mantém histórico de status, facilitando prestar contas sobre onde um dado está e quem teve acesso a ele.
Com o acesso já segmentado por padrão, boa parte da governança de dados exigida pela LGPD acontece naturalmente, sem processo manual extra.
LGPD não é burocracia extra, é cuidado organizado
O Departamento Pessoal sempre lidou com dados sensíveis. A LGPD só formalizou o que já deveria ser boa prática: coletar com propósito claro, guardar com segurança e dar acesso só a quem precisa.
Com a fiscalização mais ativa em 2026, vale revisar o processo de coleta e acesso a dados do DP com atenção redobrada aos dados de saúde e biometria, que estão entre os focos mais claros da ANPD para os próximos dois anos.
