LGPD e documentos de terceiros: guardar tudo não é a resposta

Ao controlar terceiros, a contratante coleta CPF, endereço, exame ocupacional, certificado de treinamento e, às vezes, comprovante de pagamento. Boa parte disso é dado pessoal; o ASO é dado pessoal sensível, porque diz respeito à saúde.

Base legal e minimização

Consentimento raramente é a melhor base aqui, a relação é assimétrica e o consentimento seria frágil. As bases que costumam sustentar o tratamento são o cumprimento de obrigação legal ou regulatória e, para dados comuns, o legítimo interesse na fiscalização do contrato. Para dado de saúde, como ASO e comprovante de vacina, legítimo interesse não serve: entram obrigação legal ou regulatória e exercício regular de direitos em contrato ou processo.

O princípio da minimização é o mais violado na prática: exigir cópia de documento pessoal completo quando bastaria a comprovação de aptidão é coleta desproporcional.

Um teste simples

1. Qual obrigação legal ou risco concreto justifica pedir este documento?
2. A versão mínima dele resolve? Um ASO diz "apto", você precisa do laudo completo?
3. Por quanto tempo esse documento serve de prova? Passado esse prazo, existe motivo para manter?
4. Quem, dentro da empresa, precisa enxergar? Todo mundo com acesso ao sistema, ou só SESMT?

O que a contratante deveria exigir de si mesma

• Registro de quem acessou documento de saúde e quando.
• Prazo de retenção declarado por tipo de documento, com descarte efetivo.
• Acesso segmentado, o gestor de uma unidade não precisa ver o ASO de outra.
• Contrato com a prestadora prevendo o tratamento de dados dos empregados dela.

Perguntas frequentes