LGPD e dados de saúde ocupacional: o que muda

Dados de saúde ocupacional — resultados de exames, ASO, prontuários do PCMSO — são classificados como dados sensíveis pela LGPD, o que exige cuidado redobrado no armazenamento, no acesso e no compartilhamento dessas informações dentro da empresa. Um vazamento ou uso indevido desses dados expõe a empresa a sanções da LGPD, além do risco trabalhista de discriminação baseada em condição de saúde.

Por que dados de saúde exigem tratamento diferenciado

A LGPD classifica dados de saúde como sensíveis porque seu uso indevido pode gerar discriminação — por exemplo, se um gestor de RH tiver acesso irrestrito a diagnósticos de exames periódicos e usar essa informação para decisões de promoção ou demissão. Por isso, o acesso a esse tipo de dado deve ser restrito a quem realmente precisa dele, com finalidade específica.

Pontos de atenção práticos para o RH

• O RH geralmente deve ter acesso apenas ao resultado de aptidão do ASO (apto/inapto), não ao detalhe clínico do exame.
• Prontuários médicos do PCMSO devem ficar sob guarda do médico coordenador ou da clínica responsável, não em pasta compartilhada da empresa.
• Contratos com a clínica de medicina ocupacional devem prever cláusulas específicas de tratamento de dados sensíveis.

O que fazer em caso de incidente com esses dados

Se houver suspeita de acesso indevido ou vazamento de dados de saúde ocupacional, a empresa deve avaliar a extensão do incidente, identificar quais trabalhadores foram afetados e comunicar formalmente conforme as obrigações previstas na LGPD para esse tipo de dado sensível. Ter um fluxo definido previamente para essa situação — em vez de improvisar no momento do incidente — reduz o tempo de resposta e o risco de agravamento do problema, tanto legal quanto reputacional junto aos colaboradores.

O risco de terceirizar sem verificar esse cuidado

Quando a empresa terceiriza exames ocupacionais, a responsabilidade pela proteção desses dados sensíveis não desaparece — ela é compartilhada com a clínica contratada. Por isso, vale confirmar como o fornecedor armazena e protege prontuários antes de fechar contrato, e não só depois de um incidente.

Como isso se conecta ao compliance de SST como um todo

Empresas que já têm PCMSO e PGR bem estruturados tendem a ter processos mais claros sobre quem acessa qual informação — o que facilita naturalmente a adequação à LGPD nessa frente. Já empresas com gestão de SST informal costumam também ter falhas na proteção de dados sensíveis, porque os dois problemas vêm da mesma causa: falta de processo documentado.

O que fazer com exames antigos ao adequar a empresa à LGPD

Empresas que estão organizando sua adequação à LGPD costumam esquecer que ASOs e laudos antigos, armazenados em papel ou em pastas compartilhadas sem controle de acesso, também são dado sensível de saúde. O ideal é migrar esse histórico para um sistema com controle de acesso restrito e prazo de retenção definido, em vez de manter arquivos acumulados sem critério — tanto por compliance quanto por reduzir a superfície de um eventual vazamento.

Do ponto de vista prático, o que costuma faltar não é boa vontade, e sim registro. Empresas que já fazem a parte certa de dados de saúde ocupacional muitas vezes não conseguem provar isso rapidamente numa fiscalização, porque o documento que comprova a avaliação está desatualizado, disperso entre e-mails e pastas soltas, ou nunca foi formalizado por escrito pelo responsável técnico. Manter esse histórico organizado e datado — com a versão vigente clara e as anteriores arquivadas, não descartadas — é o que transforma uma boa prática informal em evidência defensável caso a empresa precise justificar sua conduta depois. Vale também revisar esse arquivo com uma periodicidade fixa, não só quando algo muda: normas são atualizadas, a estrutura da empresa muda de tamanho, e um documento correto há dois anos pode já não refletir a realidade atual da operação, mesmo sem que ninguém tenha percebido a defasagem no dia a dia.

Perguntas frequentes

O gestor direto do colaborador pode saber o resultado detalhado de um exame periódico?

Em regra, não. O acesso ao gestor deve se limitar à informação de aptidão para a função, sem detalhes clínicos, que ficam sob responsabilidade médica.

A empresa precisa de um responsável formal pela proteção de dados de saúde ocupacional?

É uma boa prática ter um responsável ou processo claro definido para tratar esse tipo de dado sensível, alinhado à política geral de proteção de dados da empresa.

Um exame toxicológico pode ser compartilhado com o gestor direto do motorista?

O resultado detalhado deve ficar sob sigilo médico; ao gestor cabe apenas a informação de aptidão, seguindo a mesma lógica de restrição de acesso aplicada aos demais dados de saúde ocupacional. Compartilhar o laudo completo sem necessidade específica é uma prática que expõe a empresa a questionamento sob a LGPD.

Fale com a Climec

A Climec estrutura o PCMSO da sua empresa com prontuários sob responsabilidade médica adequada, protegendo os dados sensíveis dos seus colaboradores. Fale com a gente para revisar esse processo na sua operação e alinhar o fluxo de acesso a dados de saúde ocupacional com a política de LGPD da empresa.

COMPARTILHAR: