LGPD e medicina do trabalho: como tratar os dados de saúde dos colaboradores?

A medicina do trabalho produz e utiliza informações essenciais para o acompanhamento da saúde dos colaboradores. ASOs, prontuários, resultados de exames, atestados, históricos de afastamento e dados enviados ao eSocial fazem parte dessa rotina.

Como essas informações se referem à saúde de pessoas identificadas, elas exigem cuidados maiores na coleta, no acesso, no armazenamento e no compartilhamento.

A LGPD não impede que a empresa cumpra suas obrigações de Saúde e Segurança do Trabalho. A lei orienta que cada dado seja utilizado para uma finalidade legítima, com acesso limitado ao necessário e medidas capazes de protegê-lo.

Na prática, isso exige uma separação clara entre as informações administrativas de que o RH precisa e o conteúdo clínico que deve permanecer sob responsabilidade médica.

Neste artigo, você entenderá como a LGPD se aplica à medicina do trabalho, quais dados a empresa pode tratar e como organizar um fluxo mais seguro entre RH, clínica ocupacional, laboratórios, sistemas e demais prestadores.

O que a LGPD considera dado pessoal de saúde?

A Lei Geral de Proteção de Dados classifica as informações referentes à saúde como dados pessoais sensíveis. Essa categoria recebe proteção especial porque seu uso inadequado pode provocar discriminação, exposição da intimidade e prejuízos profissionais, sociais ou financeiros ao titular.

Na medicina do trabalho, são exemplos de dados pessoais sensíveis:

conclusão de apto ou inapto;
resultados de exames clínicos e complementares;
diagnósticos e hipóteses diagnósticas;
histórico de doenças e cirurgias;
informações sobre saúde mental;
medicamentos utilizados;
tratamentos em andamento;
limitações funcionais;
informações sobre deficiência;
dados relacionados à gestação;
registros de acidentes ou doenças do trabalho;
atestados médicos e períodos de afastamento;
conteúdo do prontuário médico ocupacional.

Até mesmo o ASO deve receber tratamento cuidadoso. Embora não apresente todo o histórico clínico, o documento contém uma conclusão sobre a condição de saúde do trabalhador em relação à função avaliada.

De acordo com a LGPD, o tratamento dessas informações deve observar princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação.

O que significa tratar dados na medicina do trabalho?

Tratamento é qualquer operação realizada com um dado pessoal. O conceito abrange muito mais do que armazenar uma informação em um sistema. Na rotina ocupacional, existe tratamento quando a empresa ou um prestador:

coleta dados para agendar um exame;
envia informações do empregado à clínica;
consulta um ASO;
recebe um atestado;
registra um afastamento;
transmite dados ao eSocial;
armazena documentos físicos ou digitais;
compartilha informações com um laboratório;
altera ou corrige um cadastro;
transfere prontuários entre médicos responsáveis;
elimina documentos após o término do prazo de guarda.

A proteção precisa acompanhar todo o ciclo de vida da informação: da coleta ao descarte.

A empresa precisa do consentimento do colaborador?

O consentimento é apenas uma das bases legais previstas para o tratamento de dados pessoais sensíveis. Ele não representa a única forma de autorizar o uso das informações de saúde. Na medicina do trabalho, grande parte do tratamento decorre do cumprimento de obrigações legais e regulatórias, como:

implementação do PCMSO;
realização dos exames ocupacionais;
emissão e manutenção dos ASOs;
envio dos eventos de SST ao eSocial;
comunicação de acidentes e doenças do trabalho;
cumprimento das Normas Regulamentadoras;
acompanhamento de afastamentos e retornos;
adoção de medidas de prevenção;
manutenção dos documentos pelo prazo exigido.

O artigo 11 da LGPD também prevê outras hipóteses para o tratamento de dados sensíveis, como o exercício regular de direitos e a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Por isso, solicitar uma autorização genérica ao empregado para “usar todos os seus dados de saúde” não resolve, por si só, a adequação à LGPD.

Quando o tratamento decorre de uma obrigação, a empresa deve identificar essa finalidade e a base legal correspondente. Se o consentimento for realmente utilizado, ele precisa ser específico, destacado, informado e relacionado a finalidades determinadas.

Também é importante lembrar que o legítimo interesse não se aplica ao tratamento de dados pessoais sensíveis, conforme orientação da Agência Nacional de Proteção de Dados.

Quais dados o RH pode receber?

O RH pode acessar as informações necessárias para cumprir obrigações trabalhistas, organizar os exames e tomar as providências administrativas decorrentes da avaliação ocupacional. O acesso deve ser definido de acordo com a função de cada profissional.

Informação	Acesso esperado
Dados cadastrais e profissionais	RH e prestadores autorizados
Data e tipo do exame ocupacional	RH e serviço de medicina do trabalho
ASO	Trabalhador, RH e profissionais autorizados
Conclusão de apto ou inapto	RH e gestores que precisem adotar providências
Orientações funcionais para adaptação	Pessoas responsáveis pela implementação
Resultados detalhados dos exames	Trabalhador e equipe de saúde autorizada
Diagnósticos e histórico clínico	Médico e equipe assistencial autorizada
Prontuário médico ocupacional	Médico responsável e demais pessoas legitimamente autorizadas, observados o sigilo médico e a legislação aplicável
Dados necessários ao eSocial	Pessoas autorizadas a preparar e transmitir o evento
Indicadores coletivos do PCMSO	Responsáveis por SST e CIPA, quando existente

O RH pode receber o ASO, mas não deve acessar rotineiramente o resultado completo da audiometria, da espirometria, de exames laboratoriais ou de outras avaliações clínicas.

A NR-7 estabelece que o ASO informe os exames realizados e suas datas, além da conclusão de apto ou inapto. O documento não funciona como um relatório clínico.

A Resolução CFM nº 2.323/2022 veda a inclusão dos resultados dos exames no ASO. Ela também determina que a comunicação de riscos e informações técnicas ao empregador preserve o sigilo profissional.

A empresa pode armazenar o prontuário médico ocupacional?

A NR-7 determina que os dados dos exames clínicos e complementares sejam registrados em prontuário médico individual, sob responsabilidade do médico responsável pelo PCMSO ou do médico responsável pelo exame, quando a organização estiver dispensada de PCMSO.

O prontuário do empregado deve ser mantido pela organização por, no mínimo, 20 anos após o seu desligamento, exceto quando houver previsão diversa nos Anexos da NR-7.

Essa obrigação de guarda não autoriza o RH a consultar o conteúdo clínico.

A organização deve garantir a guarda do prontuário, mas o acesso ao seu conteúdo clínico deve observar o sigilo médico e as normas aplicáveis. Em um sistema eletrônico, por exemplo, o perfil administrativo pode consultar agendamentos e ASOs, enquanto o perfil médico acessa anamnese, resultados, diagnósticos e condutas.

Qual é a diferença entre ASO e prontuário?

O ASO é o documento ocupacional disponibilizado ao trabalhador e utilizado pela empresa para registrar a conclusão de aptidão. Ele contém informações como:

identificação da organização;
identificação e função do empregado;
perigos ou fatores de risco que exigem controle médico;
indicação e data dos exames realizados;
conclusão de apto ou inapto;
identificação dos médicos responsáveis.

O prontuário possui conteúdo clínico mais amplo. Nele podem ser registrados:

relatos do trabalhador;
antecedentes pessoais e ocupacionais;
achados do exame físico e mental;
resultados complementares;
hipóteses diagnósticas;
tratamentos e medicamentos;
encaminhamentos;
justificativas médicas para as condutas adotadas;
evolução do acompanhamento.

O RH recebe o ASO e as orientações necessárias para organizar o trabalho. O prontuário permanece sob responsabilidade médica.

Quem é o controlador dos dados: a empresa ou a clínica?

A definição depende das decisões tomadas por cada parte em relação ao tratamento.

Em geral, a empresa atua como controladora dos dados utilizados para administrar o vínculo de emprego e cumprir suas obrigações trabalhistas e de SST. Ela decide, por exemplo, por que precisa coletar dados cadastrais, controlar os exames e manter os ASOs.

A clínica ocupacional pode atuar como controladora em relação a determinadas operações envolvendo dados clínicos quando tomar decisões próprias sobre as finalidades e os elementos essenciais desse tratamento. Em outras operações, pode atuar como operadora, quando tratar dados pessoais em nome e segundo as instruções da empresa.

Em determinadas operações administrativas, um prestador também pode tratar dados seguindo instruções da empresa. Por isso, a classificação precisa considerar a atividade realizada, e não apenas o nome atribuído às partes no contrato.

A ANPD orienta que a definição entre controlador e operador considere quem toma as decisões sobre as finalidades e os elementos essenciais do tratamento.

O contrato com a clínica, o laboratório ou o fornecedor do sistema deve esclarecer:

quais dados serão tratados;
para quais finalidades;
quais atividades cada parte realizará;
quem poderá acessar as informações;
como serão atendidas as solicitações dos titulares;
quais medidas de segurança serão adotadas;
como ocorrerá a transferência ou eliminação dos dados;
como as partes agirão diante de um incidente;
quais subcontratados poderão participar da operação.

O contrato ajuda a organizar as responsabilidades, mas deve refletir o funcionamento real da relação.

Como aplicar o princípio da necessidade?

O princípio da necessidade orienta que sejam tratados apenas os dados adequados e indispensáveis para cada finalidade. Na prática, isso significa limitar tanto a coleta quanto o número de pessoas com acesso. Alguns exemplos:

Agendamento de exames

A equipe administrativa pode precisar do nome, CPF, função, empresa, tipo de exame e data do atendimento. Ela não precisa acessar todo o histórico clínico.

Resultado de exame complementar

O resultado deve ser encaminhado ao trabalhador e ao profissional responsável pela avaliação médica. O RH pode receber a confirmação da realização do procedimento, conforme a necessidade documental.

Adaptação do trabalho

O gestor pode receber orientações sobre atividades, exposições ou condições que precisam ser ajustadas. A comunicação pode ser feita em termos funcionais, preservando o diagnóstico.

Relatório analítico do PCMSO

A empresa pode receber dados estatísticos sobre exames, alterações e doenças relacionadas ao trabalho para orientar medidas preventivas. A apresentação deve evitar a identificação desnecessária de trabalhadores.

Em setores pequenos, retirar apenas o nome pode ser insuficiente. A combinação entre função, idade, unidade e condição de saúde pode permitir a reidentificação. Por isso, os relatórios coletivos precisam ser avaliados com cuidado.

Como tratar dados enviados ao eSocial?

Os eventos de SST exigem que a empresa transmita determinadas informações sobre saúde e condições de trabalho.

No caso do S-2220, são registrados dados relacionados ao monitoramento da saúde do trabalhador. O envio deve seguir os campos e critérios do leiaute vigente.

A obrigação de transmitir o evento não autoriza a circulação interna de todo o conteúdo médico. Um fluxo adequado pode funcionar assim:

a clínica produz as informações necessárias durante o exame;
o trabalhador recebe as orientações e os resultados clínicos;
o RH recebe o ASO e os dados administrativos necessários;
o responsável autorizado prepara ou transmite o evento;
os recibos são armazenados com acesso controlado;
laudos e prontuários permanecem no ambiente médico.

Quando uma contabilidade, clínica ou empresa de SST transmite o evento em nome do empregador, o contrato e a procuração eletrônica devem estar alinhados às responsabilidades de cada parte.

Por quanto tempo os dados devem ser armazenados?

A LGPD prevê a eliminação dos dados após o término do tratamento, mas permite sua conservação para o cumprimento de obrigações legais ou regulatórias, entre outras hipóteses.

Isso significa que um pedido de exclusão não elimina automaticamente documentos que a empresa precisa manter por determinação legal.

Na medicina do trabalho, os prazos podem variar conforme o tipo de registro e a exposição envolvida. O prontuário médico ocupacional, como regra geral, deve ser mantido por pelo menos 20 anos após o desligamento, com prazos diferentes em situações previstas nos anexos da NR-7.

A empresa deve criar uma tabela de temporalidade que identifique:

o documento;
sua finalidade;
a base legal;
o responsável pela guarda;
o prazo aplicável;
as pessoas autorizadas a acessá-lo;
a forma segura de eliminação ao final do período.

Guardar tudo por tempo indeterminado também aumenta os riscos. Após o fim da finalidade e dos prazos obrigatórios, os dados devem ser eliminados ou anonimizados de forma segura, conforme o caso.

Quais direitos o trabalhador possui?

O colaborador continua sendo titular de seus dados, mesmo quando o tratamento ocorre para cumprimento de uma obrigação da empresa. Entre os direitos previstos pela LGPD estão:

confirmação da existência de tratamento;
acesso aos próprios dados;
correção de informações incompletas, inexatas ou desatualizadas;
informação sobre o compartilhamento;
anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
explicações sobre as finalidades e a duração do tratamento;
revogação do consentimento, quando essa for a base utilizada.

Alguns pedidos podem encontrar limites em obrigações de guarda, no sigilo de terceiros ou em outras exigências legais. Nesses casos, a empresa deve explicar ao titular por que a solicitação não pode ser atendida integralmente.

A organização também precisa definir um canal para o exercício desses direitos e saber encaminhar pedidos referentes ao prontuário para o responsável médico.

Quais medidas de segurança devem ser adotadas?

A LGPD exige medidas técnicas e administrativas capazes de proteger os dados contra acessos não autorizados, perda, alteração, destruição ou compartilhamento indevido.

Na medicina do trabalho, algumas medidas importantes são:

controlar o acesso por perfil e função;
utilizar autenticação multifator nos sistemas;
registrar logs de acesso e alterações;
criptografar dados armazenados e transmitidos;
bloquear contas de profissionais desligados;
revisar periodicamente as permissões;
manter documentos físicos em armários protegidos;
evitar o uso de e-mails pessoais;
utilizar canais seguros para enviar resultados;
impedir o compartilhamento de senhas;
manter cópias de segurança;
testar a recuperação dos backups;
atualizar sistemas e dispositivos;
formalizar regras para trabalho remoto;
definir procedimentos para descarte de papel e equipamentos;
treinar RH, gestores e prestadores;
manter um plano de resposta a incidentes.

A ANPD disponibiliza orientações e um checklist de medidas de segurança que também podem auxiliar empresas de pequeno porte.

Como agir diante de um incidente com dados de saúde?

Um incidente pode ocorrer de diferentes formas, como:

envio de um resultado ao destinatário errado;
acesso indevido ao prontuário;
perda de documentos físicos;
furto de computador ou celular;
compartilhamento público de uma pasta;
invasão do sistema da clínica;
ataque de ransomware;
descarte inadequado de ASOs;
utilização de uma senha compartilhada;
indisponibilidade prolongada dos registros.

Ao identificar um incidente, a empresa deve conter o problema, preservar as evidências, avaliar os dados afetados, identificar os titulares envolvidos e analisar os possíveis riscos.

O operador deve informar o controlador sem demora injustificada após tomar conhecimento de incidente de segurança que envolva dados pessoais tratados em nome do controlador, fornecendo as informações necessárias para o cumprimento das obrigações aplicáveis.

O regulamento vigente estabelece que o controlador deve realizar a comunicação à ANPD e aos titulares, quando cabível, no prazo de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada a existência de prazo específico previsto em outra legislação.

O contrato entre empresa, clínica e fornecedores deve prever um fluxo de comunicação ágil. A demora de um prestador para informar o incidente pode comprometer a análise e o cumprimento dos prazos.

Como estruturar a adequação à LGPD na medicina do trabalho?

A empresa pode começar pelas seguintes etapas:

1. Mapear os dados

Identifique quais informações de saúde são coletadas, onde estão armazenadas, quem as utiliza e com quais prestadores são compartilhadas.

2. Definir as finalidades

Cada tratamento deve estar associado a um objetivo específico, como realização do exame ocupacional, emissão do ASO, envio ao eSocial ou acompanhamento de afastamento.

3. Identificar as bases legais

Registre qual hipótese da LGPD fundamenta cada operação. Dados sensíveis devem ser associados às bases previstas no artigo 11.

4. Separar ambientes administrativos e clínicos

O sistema deve permitir que o RH consulte apenas as informações necessárias, mantendo resultados e prontuários disponíveis aos profissionais de saúde autorizados.

5. Revisar contratos

Clínicas, laboratórios, softwares e consultorias devem ter responsabilidades definidas em relação à segurança, ao compartilhamento, aos direitos dos titulares e aos incidentes.

6. Criar uma tabela de temporalidade

Defina os prazos de guarda de cada documento e o procedimento de eliminação segura.

7. Organizar o atendimento aos trabalhadores

Estabeleça canais para pedidos de acesso, correção e informações sobre o tratamento.

8. Preparar um plano de resposta a incidentes

Defina quem será acionado, como o risco será avaliado e quem realizará as comunicações necessárias.

9. Treinar as equipes

RH, lideranças, profissionais de SST e prestadores precisam conhecer os limites de acesso e compartilhamento.

10. Revisar os processos periodicamente

Mudanças de sistema, clínica, prestador ou fluxo interno podem criar novos riscos e exigir a atualização das medidas adotadas.

Erros comuns no tratamento de dados de saúde

Entre as falhas mais frequentes estão:

armazenar resultados clínicos na pasta comum do empregado;
enviar laudos por aplicativos pessoais;
compartilhar diagnósticos com gestores sem necessidade;
permitir que toda a equipe do RH acesse os mesmos documentos;
utilizar uma autorização genérica como base para todos os tratamentos;
manter senhas coletivas;
deixar contas de ex-colaboradores ativas;
guardar documentos sem prazo definido;
descartar ASOs no lixo comum;
contratar sistemas sem verificar as medidas de segurança;
deixar de formalizar o fluxo com a clínica;
apresentar dados supostamente anônimos que permitem identificar o trabalhador;
utilizar informações de saúde para decisões discriminatórias;
confundir a obrigação de enviar dados ao eSocial com acesso irrestrito ao prontuário;
deixar de registrar e avaliar incidentes.

A adequação depende da combinação entre medicina ocupacional, RH, segurança da informação, proteção de dados e gestão empresarial.

Perguntas frequentes sobre LGPD e medicina do trabalho

A LGPD impede a empresa de realizar exames ocupacionais?

A empresa pode e deve realizar os exames exigidos pela legislação. A LGPD estabelece os critérios para que os dados produzidos sejam utilizados de forma adequada e segura.

O ASO é um dado pessoal sensível?

O ASO contém informações relacionadas à saúde e à aptidão do trabalhador. Por isso, deve receber controles compatíveis com a proteção dos dados sensíveis.

O RH pode acessar resultados de exames?

O RH pode receber a indicação e a data dos exames realizados, além da conclusão ocupacional. Os resultados clínicos detalhados permanecem com o trabalhador e o serviço médico.

A empresa pode pedir que o empregado autorize qualquer uso de seus dados?

Autorizações genéricas não substituem a identificação das finalidades e das bases legais. Quando utilizado, o consentimento deve ser específico, informado e destacado.

O legítimo interesse pode ser usado para dados de saúde?

Não. O tratamento de dados pessoais sensíveis deve estar fundamentado nas hipóteses do artigo 11 da LGPD.

Pequenas empresas também precisam cumprir a LGPD?

Sim. O porte pode influenciar determinadas regras e procedimentos, mas não elimina o dever de proteger dados pessoais e adotar medidas de segurança compatíveis com os riscos.

O trabalhador pode pedir a exclusão do prontuário?

O titular pode exercer seus direitos, mas a exclusão pode ser limitada pela obrigação legal de guarda. O prontuário ocupacional deve ser mantido pelos períodos previstos na NR-7.

A clínica deve enviar o prontuário completo quando a empresa solicita?

A organização deve garantir a guarda do prontuário nos termos da NR-7, mas isso não lhe confere acesso irrestrito ao conteúdo clínico. O acesso e a transferência dos prontuários devem observar o sigilo médico, a NR-7 e as normas do CFM.

LGPD e medicina do trabalho em Itajubá: conte com a Clínica Itajubá

Aplicar a LGPD à medicina do trabalho significa organizar o uso das informações de saúde de acordo com sua finalidade.

O RH precisa acessar dados para cumprir suas responsabilidades. O médico precisa das informações clínicas para avaliar e acompanhar o trabalhador. A separação adequada entre esses ambientes fortalece o sigilo, a segurança e a gestão ocupacional.

A Clínica Itajubá atua na elaboração e no gerenciamento do PCMSO, na realização de exames ocupacionais e complementares e na organização das informações necessárias para o acompanhamento da saúde dos trabalhadores.

Se sua empresa precisa estruturar os exames ocupacionais, revisar o PCMSO ou melhorar o fluxo de informações entre RH e medicina do trabalho, fale com a Clínica Itajubá.