A partir de 1º de agosto de 2021 entra em vigor as sanções administrativas previstas na Lei Geral de Proteção de Dados - LGPD (Lei nº 13.709, de 14/08/18, DOU de 15/08/18, arts. 52, 53 e 54).

As penalidades para empresas que não observarem as novas exigências vão desde de uma simples advertência, com indicação de prazo para adoção de medidas corretivas, multa simples, de até 2% do faturamento da pessoa jurídica, limitada em até R$ 50.000.000,00.

A LGPD estabelece os princípios, direitos e deveres que deverão ser observados no tratamento de dados pessoais, em todas as práticas de uma empresa, independentemente de seu porte.

A proteção de dados pessoais está classificada de duas formas:

Dados pessoais

São todas as informações relacionadas a uma pessoa natural identificada ou identificável. Identificada, pode ser o nome, foto ou imagem, RG, CPF entre outros documentos, como o crachá, por exemplo. Identificável, pode ser a tatuagem, marcas de nascença (verrugas, pintas, etc.), deficiência física e mental, etc.

Dado pessoal sensível

São todas as informações relacionadas sobre a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Um dos principais alvos na empresa é o Departamento Pessoal e o RH, já que armazenam todos os dados de empregados, dos empregadores e também das empresas terceirizadas, devendo observar o seguinte:

Recutamento e Seleção de Pessoal

- curriculuns de candidatos;

- dados de entrevistas de candidatos;

- fichas de solicitação de empregos;

- etc.

Admissão

- registro do empregado;

- exames médicos;

- dados biométricos;

- dados de empregados terceirizados;

- etc.

Compensação

- registro de ponto;

- salários;

- vencimentos e descontos;

- convênios (médico, farmácia, seguro, etc.);

- folha de pagamento (processamento através de terceiros);

- recibo e a sua forma de distribuição;

- dados bancários dos colaboradores;

- etc.

Desligamento

- informações sobre os motivos de desligamento;

- rescisão contratual (TRCT);

- processos trabalhistas;

- manutenção dos prontuários (guarda de documentos);

- etc.

Treinamento

O RH deverá elaborar diversos programas de treinamento junto aos seus colaboradores para a adequação a LGPD, objetivando a conscientização dos impactos para a empresa e como eles podem se adequar a ela.

É necessário também, fazer um mapeamento dos processos da empresa e fazer uma revisão de políticas internas, processos de armazenamento, segurança das informações, backup de arquivos e tudo que seja pertinente aos dados para prevenir e se adequar à lei.

Nos contratos de trabalho, é recomendável criar uma cláusula, esclarecendo que os dados pessoais serão utilizados apenas para informação junto aos órgãos oficiais do Governo Federal nas suas obrigações acessórias (eSocial, GFIP, DCTF, etc.) .

Quando os dados são utilizados para outras finalidades, tais como para: bancos, seguradoras, plano médico, exames médicos, processamento de folha de pagamento, sindicatos, etc., deverá haver uma cláusula com o respectivo consentimento do empregado do uso dos dados, informando a finalidade da utilização e por quanto tempo será armazenado.

Gestão

Não é da esfera trabalhista a sua fiscalização, sendo atribuído a ANPD - Autoridade Nacional de Proteção de Dados, entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República.

Na empresa há a figura do "Encarregado" ou DPO (Data Protection Officer), para atuar como canal de comunicação entre a empresa e a Autoridade Nacional de Proteção de Dados (ANPD).

Este profissional é o responsável pela segurança na área de tecnologia da informação (TI), alinhado com o RH e com o jurídico da empresa.

Nota: A Emenda Constitucional nº 115, de 10/02/22, DOU de 11/02/22 (RT 012/2022), do Congresso Nacional, alterou a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais.