LGPD, IA e dados de saúde do trabalhador
Toda ferramenta de IA no RH encosta em dado de pessoa. Dado de saúde é o mais protegido deles. O desenho certo resolve a maior parte das perguntas antes de elas chegarem ao jurídico.
Resposta curta
Dado de saúde é dado pessoal sensível, e tratá-lo exige uma base legal específica (Lei nº 13.709/2018, art. 11); o consentimento do funcionário é a mais frágil delas. Para a gestão, a saída é agregar e anonimizar: RH e diretoria trabalham com contagem por setor (um número por área, nunca por pessoa). Antes de qualquer ferramenta de IA, três perguntas: onde o dado é processado, se o fornecedor treina com ele e quem é o operador no contrato. A base legal de cada tratamento é para o jurídico definir.
Por que dado de saúde é diferente dos outros dados do RH?
A LGPD separa dado pessoal de dado pessoal sensível, e põe o dado de saúde na segunda lista (Lei nº 13.709/2018, art. 5º, II). A consequência: dado sensível só pode ser tratado nas hipóteses que a lei enumera, com mais segurança, finalidade clara e o mínimo de dado possível (art. 11).
No RH, isso alcança atestado, motivo de afastamento, resultado de exame, uso do plano, resposta à pesquisa de riscos psicossociais e pedido de adaptação de posto. Alcança também o ASO (o atestado que o médico do trabalho emite nos exames obrigatórios). E a IA multiplica cópias. O PDF da pasta passa a estar na pergunta feita à ferramenta, no histórico dela, no servidor do fornecedor e, às vezes, no treino do próximo modelo.
A boa notícia: a gestão de saúde raramente precisa do dado individual. Custo por setor, afastamentos por cem pessoas e temas da pesquisa são agregados. Agregado bem feito deixa de ser dado pessoal. O que segue traduz isso para o dia a dia. Para a base legal de cada caso, consulte o jurídico.
Quais bases legais existem, e por que consentimento é frágil no emprego?
Base legal é o motivo que a lei aceita para tratar o dado. As que mais aparecem na gestão de saúde da empresa (Lei nº 13.709/2018, art. 11):
- Cumprir obrigação legal (inciso II, a). É o caso do PCMSO (o programa de exames médicos obrigatório), do ASO e do PGR (o inventário de riscos do trabalho que a NR-1 exige). Também do eSocial SST (os eventos de saúde e segurança que a empresa envia ao governo) e da CAT (a comunicação de acidente de trabalho). O dado fica com quem tem o dever legal: o médico do trabalho.
- Cuidar da saúde, por profissionais de saúde (inciso II, f): acompanhamento de casos, retorno ao trabalho, casos que se repetem. É da medicina do trabalho, não do RH.
- Consentimento específico e destacado (inciso I): possível, mas frágil na relação de emprego. Discute-se se o funcionário consente de forma livre ao empregador. Serve para o que é de fato opcional, como aderir a um programa de bem-estar.
Lei nº 13.709/2018, art. 11, em leitura de gestão, 31 de outubro de 2026. Não é parecer jurídico. Qual base sustenta cada tratamento na sua empresa é decisão do jurídico e do encarregado de dados (a pessoa que a LGPD manda a empresa indicar para cuidar do tema).
Para o gestor, a lista diz uma coisa. O RH, por si, tem poucas bases para tratar dado de saúde individual. A medicina do trabalho tem. Por isso o individual fica com ela, e o RH recebe o agregado.
O que são anonimização e agregação, e quando bastam?
Dado anonimizado é o que não permite identificar a pessoa, com os meios técnicos razoáveis (Lei nº 13.709/2018, art. 5º, III e XI). Ele deixa de ser dado pessoal, salvo se o processo puder ser revertido (art. 12). Trocar o nome por um código não é anonimizar. Quem tem a chave desfaz a troca.
Para a gestão, anonimizar é agregar com mínimo de pessoas: mostrar só grupos com pelo menos cinco pessoas, juntar grupos pequenos e não exibir texto livre. Três armadilhas quebram a agregação sem aviso. O setor pequeno: o indicador de um setor de três pessoas é o dado das três. O cruzamento: setor, turno e faixa etária juntos chegam rápido a uma pessoa. A linha do tempo: o mês em que o afastamento começou, combinado com a escala, aponta quem foi.
O agregado basta para quase toda decisão de diretoria e de RH, que é sobre organização do trabalho e custo. Não basta para acompanhar casos, organizar o retorno ao trabalho e avaliar aptidão. Aí o dado é individual, e a base legal e o responsável são da medicina do trabalho.
O que o RH pode e não pode fazer?
| Situação | Pode | Não pode |
|---|---|---|
| Afastamento | Saber que a pessoa está afastada e por quanto tempo, para cobrir o posto | Saber o CID (código do diagnóstico) ou o motivo clínico; pedir o atestado detalhado |
| Plano de saúde | Ver custo e uso agregados por setor; conferir se quem está na fatura está na folha | Ver uso individual; cruzar código de beneficiário com nome |
| Pesquisa de riscos psicossociais | Ver resultado por setor, com mínimo de respostas | Ver resposta individual; tentar identificar quem escreveu |
| ASO e exames | Saber se a pessoa está apta e quando vence o exame | Ver o resultado do exame |
| Ferramenta de IA | Usar com dado agregado, em ferramenta com contrato de operador | Colar dado individual de saúde em ferramenta de uso geral |
| Adaptação ou restrição | Receber a restrição funcional do médico do trabalho ("sem carga acima de X") | Receber o diagnóstico que a motivou |
Matriz de gestão da EvySaude, 31 de outubro de 2026, a partir da Lei nº 13.709/2018 e das normas de SST. Orientação, não parecer: cada linha pode mudar com a convenção coletiva e a atividade; consulte o jurídico.
A linha mais mal aplicada é a do atestado. O RH precisa do afastamento, não do motivo. Sistema de ponto que exige o CID pede mais do que a função precisa. Para empresas menores, o básico está em saúde corporativa, no site da ASF.
Onde a IA processa o dado, e o que perguntar ao fornecedor?
A pergunta que define quase tudo: para onde vai o que eu colo na ferramenta? Há quatro respostas, com riscos diferentes.
- Ferramenta de uso geral, conta pessoal. O dado vai para o servidor do fornecedor, fica no histórico e pode treinar modelos, conforme os termos de uso. Não serve para dado de pessoa.
- Ferramenta de uso geral, conta da empresa com contrato. O fornecedor é operador (trata o dado por conta da empresa). O contrato diz o que ele faz, por quanto tempo guarda e que não treina com o dado. Serve para agregado e para texto sem dado de pessoa.
- Plataforma especializada, com dado no Brasil ou com cláusula de transferência para fora do país (Lei nº 13.709/2018, art. 33). Serve para o dado da gestão, com registro de acesso.
- Processamento controlado, sem envio a terceiro. O dado sensível não sai do ambiente da empresa ou do prestador de SST. É o único arranjo adequado para ASO, CID, relatório de utilização com nomes e conteúdo de canal de escuta.
As perguntas ao fornecedor, com o peso de cada uma, estão em como escolher ferramenta de IA para o RH.
O que a empresa documenta?
A lei pede segurança proporcional ao risco, registro das operações com dado e, quando a autoridade pedir, um relatório de impacto (Lei nº 13.709/2018, arts. 46, 37 e 38). Na gestão de saúde com IA, isso vira quatro documentos.
Inventário de tratamentos: que dado de saúde a empresa trata, para quê, com que base legal, por quanto tempo e com que fornecedor. Matriz de acesso: quem vê o quê. Trilha de auditoria: quem acessou dado individual, quando e por quê. Sem ela, a matriz é só intenção. Contratos de operador com cada fornecedor, inclusive os de IA.
Encarregado de dados, jurídico e medicina do trabalho revisam os quatro antes de a primeira ferramenta entrar. O RH é dono da rotina, não da decisão jurídica. Esta página é roteiro de gestão: consulte o jurídico.
O encaixe no plano de implantação está em roteiro de 90 dias para IA no RH. Os compromissos da EvySaude estão em como funciona.
Guia em PDF · sem custo
Guia do controle de sinistralidade
Guia em PDF para diretoria, CFO e RH: como calcular a sinistralidade, os cinco pontos que pesam, o relatório a pedir, a conciliação de vidas e o programa de 90 dias.
Receber o guia →Perguntas frequentes
O funcionário pode consentir que o RH veja seu dado de saúde?
Em tese sim, mas o consentimento é considerado frágil na relação de emprego, porque se discute se é livre (Lei nº 13.709/2018, art. 11). Serve melhor para o que é de fato opcional, como aderir a um programa de bem-estar. Para o que a gestão precisa, agregar dispensa a pergunta; a base de cada caso é para o jurídico definir.
Agregar por setor já resolve a LGPD?
Resolve boa parte, se a agregação tiver mínimo de pessoas por grupo, não permitir cruzamentos que cheguem a uma pessoa e não exibir texto livre. Agregado sem mínimo é dado pessoal com outro nome. E o dado individual que ficou com a medicina do trabalho continua precisando de base legal, segurança e registro de acesso.
Posso usar uma ferramenta de IA de uso geral no RH?
Para texto sem dado de pessoa, como redigir um comunicado, sim. Para dado agregado de saúde, só com conta da empresa e contrato que proíba treino e defina o operador. Para dado individual de saúde, não, em nenhum arranjo de uso geral; em dúvida, consulte o jurídico e o encarregado de dados.
Quem é o responsável se a ferramenta vazar dado?
A empresa é a controladora (quem decide o que fazer com o dado) e responde perante o funcionário e a autoridade. O fornecedor é o operador e responde nos termos do contrato e da lei (Lei nº 13.709/2018, arts. 39 e 42). Por isso contrato de operador, registro de acesso e mínimo de dado são pré-requisitos, não detalhes, e a divisão de responsabilidade em cada caso é tema para o jurídico.