O termo de consentimento LGPD é o documento em que o titular autoriza, de forma livre, informada e inequívoca, o uso dos seus dados pessoais para uma finalidade específica. Na contratação de funcionários, porém, ele é a exceção e não a regra: a maior parte dos dados do empregado é tratada por obrigação legal ou para executar o contrato de trabalho. Este guia mostra quando o consentimento é necessário, o que o termo deve conter e como evitar os erros mais comuns no RH.
Em resumo
- Base legal
- Lei 13.709/2018, arts. 7º, 8º e 11
- Forma
- Escrita ou meio que comprove
- Revogação
- A qualquer momento, gratuita
- Ônus da prova
- Do empregador
- Na relação de emprego, a subordinação dificulta um consentimento realmente livre; por isso, ele deve ser usado só quando nenhuma outra base legal se aplica.
- Cadastro, folha, eSocial e exames ocupacionais têm base em obrigação legal ou contrato, sem consentimento.
- Uso de imagem em marketing, benefícios opcionais e compartilhamentos não obrigatórios são casos típicos de consentimento.
- Autorizações genéricas, como “autorizo o uso dos meus dados para todos os fins”, são nulas.
O que é o termo de consentimento LGPD
A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018) define consentimento como a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para uma finalidade determinada (art. 5º, XII). O termo de consentimento é o registro dessa manifestação. Ele serve, sobretudo, como prova, porque o art. 8º, §2º, atribui ao controlador o ônus de demonstrar que o consentimento foi obtido corretamente.
No entanto, o consentimento é apenas uma das dez bases legais do art. 7º. Muitas empresas pedem que o novo empregado assine um termo amplo na admissão, como se ele legitimasse todo o tratamento. Isso é um erro. Se o empregado revogar o termo, a empresa ficaria, em tese, sem base para dados de que precisa para cumprir a lei.
A Autoridade Nacional de Proteção de Dados (ANPD) alerta, em seus guias orientativos, que o consentimento pressupõe liberdade real de escolha. Na relação de emprego, a assimetria entre as partes torna essa liberdade difícil. Por isso, o caminho correto é mapear os dados, escolher a base adequada para cada finalidade e reservar o termo de consentimento para o que realmente depende dele.
Bases legais na relação de emprego
A tabela resume as bases mais usadas no ciclo do empregado, da seleção ao desligamento.
| Tratamento | Base legal típica | Precisa de consentimento? |
|---|---|---|
| Cadastro, CTPS digital, eSocial, FGTS | Obrigação legal (art. 7º, II) | Não |
| Folha de pagamento e dados bancários | Execução do contrato (art. 7º, V) | Não |
| Exames admissionais e periódicos | Obrigação legal, dado sensível (art. 11, II, a) | Não |
| Controle de jornada | Obrigação legal ou contrato | Não, mas biometria exige cautela |
| Guarda de documentos para defesa em ações | Exercício regular de direitos (art. 7º, VI) | Não |
| Monitoramento de e-mail corporativo e segurança | Legítimo interesse (art. 7º, IX) | Não, com avaliação documentada |
| Foto ou vídeo em campanhas de marketing | Consentimento (art. 7º, I) | Sim |
| Benefício opcional que exige compartilhar dados | Consentimento | Em regra, sim |
| Banco de talentos após a seleção | Consentimento | Sim |
O legítimo interesse exige teste de balanceamento e transparência. A ANPD publicou guia específico sobre essa base, com um modelo de avaliação. Além disso, ele não pode ser usado para dados sensíveis.
Quando o termo de consentimento LGPD é necessário
O termo de consentimento LGPD é necessário quando a finalidade não decorre de lei, do contrato ou de outro interesse legítimo da empresa, e o empregado pode recusar sem prejuízo. Exemplos comuns:
- Uso de imagem e voz em redes sociais, site, catálogos e campanhas da empresa, que também depende de autorização pelo Código Civil (art. 20);
- Banco de talentos, para manter currículos de candidatos não aprovados para vagas futuras;
- Benefícios opcionais, como programas de bem-estar que exigem dados de saúde;
- Divulgação de aniversários, fotos em eventos internos ou dados pessoais em murais;
- Compartilhamento com parceiros para ofertas que não fazem parte do contrato de trabalho.
Em todos esses casos, a recusa ou a revogação não pode gerar punição, perda de vaga ou tratamento diferente. Se a empresa não aceitaria a recusa, então o consentimento não é a base correta.
O que o termo deve conter
O art. 8º e o art. 9º da LGPD trazem os requisitos. Em síntese, o termo precisa ser claro, específico e separado das demais cláusulas.
- Identificação do controlador e contato do encarregado (DPO);
- Finalidade específica, pois autorizações genéricas são nulas (art. 8º, §4º);
- Dados tratados, como nome, imagem, voz ou dado de saúde;
- Forma e duração do tratamento e prazo de guarda;
- Compartilhamento: com quem e para quê;
- Direitos do titular e como exercê-los (art. 18);
- Possibilidade de não consentir e as consequências da recusa;
- Forma de revogação, simples e gratuita.
Se o consentimento estiver dentro do contrato de trabalho, ele deve constar de cláusula destacada (art. 8º, §1º). Ainda assim, a melhor prática é um documento separado, com opção de marcar cada finalidade. Além disso, se a finalidade mudar, o empregado deve ser informado e pode revogar o consentimento (art. 9º, §2º, e art. 8º, §6º).
Dados sensíveis do empregado
Dados de saúde, biometria, origem racial ou étnica, religião, filiação sindical, opinião política, vida sexual e dados genéticos são sensíveis (art. 5º, II). O art. 11 limita as bases para tratá-los, e o consentimento, quando usado, deve ser específico e destacado.
- Atestados e exames: tratados para cumprir obrigação legal ou para proteção da saúde, sem consentimento, com acesso restrito ao RH e ao serviço médico.
- Biometria no ponto ou no acesso: admitida para prevenção à fraude e segurança do titular (art. 11, II, g), mas com alternativas, segurança reforçada e registro da avaliação de risco.
- Filiação sindical: tratada para cumprir obrigação legal, como descontos autorizados.
- Dados de dependentes: para IR, plano de saúde e salário-família, com base em obrigação legal ou contrato; para menores, observe o melhor interesse (art. 14).
Quanto maior o risco, maior a necessidade de documentação. Para tratamentos de alto risco, a ANPD pode exigir relatório de impacto à proteção de dados.
Revogação e direitos do titular
O consentimento pode ser revogado a qualquer momento, por manifestação expressa, em procedimento gratuito e facilitado (art. 8º, §5º). A revogação não invalida o que foi feito antes dela. No entanto, a partir dela, a empresa deve parar o tratamento baseado no consentimento, por exemplo retirando a foto do empregado de novas peças.
Além disso, o empregado tem os direitos do art. 18: confirmação e acesso aos dados, correção, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos e revisão de decisões automatizadas. Os pedidos devem ser respondidos nos prazos legais, por isso convém ter um canal único gerido pelo encarregado.
Depois do desligamento, os dados podem ser guardados para cumprir obrigações legais e para defesa em eventuais ações. A Constituição prevê prazo de prescrição de 5 anos, limitado a 2 anos após o fim do contrato (art. 7º, XXIX). Já os dados mantidos só por consentimento devem ser eliminados quando a finalidade terminar.
Como implantar no RH
Mapeie os dados
Liste os dados tratados em cada etapa, da seleção ao desligamento, e quem tem acesso a eles.
Defina a base de cada finalidade
Registre a base legal no inventário e use o consentimento só quando nenhuma outra couber.
Revise documentos
Substitua termos genéricos por aviso de privacidade ao empregado e termos específicos de consentimento.
Nomeie o encarregado
Indique o encarregado e divulgue o contato, conforme a Resolução CD/ANPD 18/2024.
Treine e controle
Treine o RH, limite acessos e prepare o plano de resposta a incidentes da Resolução CD/ANPD 15/2024.
Agentes de tratamento de pequeno porte, como microempresas, têm regras simplificadas pela Resolução CD/ANPD 2/2022; veja nosso guia sobre o regulamento da LGPD para pequenas empresas. Em caso de descumprimento, as sanções do art. 52 vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, com dosimetria definida pela ANPD. Para um programa completo, veja nosso guia de adequação à LGPD.
Perguntas frequentes
O empregador precisa de consentimento para tratar dados do funcionário?
Na maioria dos casos, não. Cadastro, folha, eSocial, exames ocupacionais e controle de jornada se apoiam em obrigação legal ou na execução do contrato. O consentimento fica para finalidades opcionais, como uso de imagem em marketing.
O termo de consentimento pode estar no contrato de trabalho?
Pode, desde que em cláusula destacada e específica (art. 8º, §1º). Ainda assim, um documento separado, com opção por finalidade, comprova melhor que o consentimento foi livre.
O que acontece se o funcionário revogar o consentimento?
A empresa deve parar o tratamento baseado no consentimento a partir da revogação, sem punir o empregado. O que foi feito antes continua válido, e os dados tratados por outras bases legais não são afetados.
Biometria no ponto exige consentimento?
Não necessariamente. A biometria é dado sensível e pode ser tratada para prevenção à fraude e segurança do titular. Mesmo assim, a empresa deve documentar a avaliação de risco, proteger os dados e, sempre que possível, oferecer alternativa.
Por quanto tempo guardar dados de ex-empregados?
Pelo tempo necessário para cumprir obrigações legais e para defesa em ações. Na esfera trabalhista, a prescrição é de 5 anos, limitada a 2 anos após o fim do contrato, mas prazos previdenciários e fiscais podem ser maiores.
Candidato não aprovado pode ficar no banco de talentos?
Sim, se consentir de forma específica. Sem consentimento, os dados devem ser eliminados ao fim do processo seletivo, salvo necessidade de guarda para defesa de direitos.
