A cibersegurança é um tema recorrente em DPs e RHs, pois são setores que armazenam uma quantidade enorme de dados sensíveis, e o vazamento, mau uso ou compartilhamento indevido pode acarretar em uma série de problemas para quem o faz e principalmente para a empresa, que é a responsável pela sua coleta, armazenamento, proteção e descarte.
Por isso, criamos um pequeno guia de como a cibersegurança impacta a rotina do DP, a interseção crítica entre LGPD e os impactos do mau uso dos dados sensíveis. Nosso objetivo é detalhar como deve funcionar o tratamento de dados biométricos, práticas de proteção contra vazamentos e a implementação de compliance digital para mitigar riscos jurídicos.
A grande dica é contar com a expertise da TWO RH para garantir que sua empresa opere com segurança máxima. A TWO conta com especialistas em BPO de Departamento Pessoal e utiliza tecnologias de alta segurança e processos rigorosos de proteção de dados, assegurando total conformidade com a ANPD e tranquilidade na gestão de informações sensíveis dos colaboradores.
O que o DP precisa saber sobre Dados Sensíveis e Biometria
Os funcionários do departamento pessoal atualmente precisam conhecer mais a fundo a cibersegurança, uma vez que os dados sensíveis, como biometria, são regulamentados pela ANPD, e as regras são bem rigorosas, como mostraremos a seguir:
A classificação de dados biométricos (Digital, Facial e Voz) perante a ANPD
A Autoridade Nacional de Proteção de Dados classifica como dados sensíveis o reconhecimento por meio de biometria, a facial, digital e por voz, considerando-os extremamente sensíveis e exigindo muito rigor no tratamento destes dados por quem faz uso dessas ferramentas para algum tipo de controle com finalidade específica
De acordo com o Artigo 11 da LGPD, o departamento pessoal não pode, de forma alguma, usar o “legítimo interesse” como matéria para coletar a biometria. Para que isso seja feito seguindo a legislação é necessário que algumas medidas sejam tomadas.
O consentimento deve ser livre, voluntário e devidamente documentado, o que significa que o funcionário não pode ser coagido a aceitar a coleta. A biometria só poderá ser realizada sem consentimento em se tratando de exigência legal ou regulatória.
A biometria pode ser coletada para que seja liberado o acesso a lugares restritos, e em quaisquer um desses casos, todas as medidas de segurança devem ser tomadas, como a criptografia, controle rigoroso de acesso aos dados, e com relação ao reconhecimento facial, há uma forte recomendação que seja armazenado o template e não a imagem em si.
Em 2026 a ANPD aumentou a fiscalização sobre coleta e armazenamento dos dados biométricos pelas empresas, e cabe ao DP deixar muito claro aos contratados como seus dados sensíveis serão utilizados, como funciona a cibersegurança, por quanto tempo serão armazenados, e ao fim do contrato o direito à exclusão dos dados.
Riscos jurídicos e multas
Com o aumento do controle por parte da ANPD as empresas começaram a se preocupar efetivamente com os problemas que podem vir do mau uso dos dados biométricos e com a falha na cibersegurança.
Caso os dados sejam vazados, a responsabilidade inicial recai sobre a empresa, com previsão legal de inversão do ônus da prova, podendo a organização se exonerar caso comprove culpa exclusiva de terceiros ou força maior. Os danos morais coletivos ou individuais também recaem sobre a empresa caso seja demonstrado o nexo de causalidade, todos com percentuais e valores impactantes.
A multa simples por infração é de até 2% sobre o faturamento da empresa, ficando limitada ao valor de R$ 50 milhões por cada infração. A ANPD também pode exigir que os dados coletados indevidamente sejam definitivamente excluídos ou bloqueados.
Uma das medidas mais temerárias é a possibilidade da divulgação do vazamento, uma vez que a ANPD torna obrigatório a publicização do fato, o que pode causar impactos negativos severos à imagem da empresa, bem como pode ser solicitada a suspensão do uso dos serviços que tratem com biometria e dados sensíveis em razão da falta de segurança.
Cibersegurança para o DP: práticas essenciais de proteção
Um dos setores da empresa que mais deve se preocupar com a cibersegurança é o departamento pessoal, pois é justamente nele que se encontram os dados biométricos sensíveis dos colaboradores, cuja ANPD recomenda um cuidado extremo. Vamos ver algumas medidas fundamentais que o DP deve manter para que não ocorram vazamentos:
Controle de acesso e autenticação multifator (MFA) em softwares de RH
O controle de acesso deve ser extremamente rigoroso, podendo ser feito por meio do RBAC, que é o Controle de Acesso Baseado em Função, e garante que apenas determinados funcionários do DP tenham acesso aos dados biométricos e sensíveis.
Há a autenticação multifator, MFA, que exige a autenticação em duas etapas diferentes em todos os tipos de sistemas de acesso, como e-mails, sistema bancário ou de folha de pagamento, entre outros, utilizando uma camada além de uma senha.
Criptografia de ponta a ponta na transmissão da folha de pagamento
Outra prática essencial na cibersegurança do DP é a criptografia de ponta a ponta para proteger todos os dados sensíveis, seja para acessar informações ou mesmo para o envio de e-mails e informações ao eSocial.
Segurança em nuvem: como escolher fornecedores de ponto digital seguros
Um dos fatores mais importantes para se manter em conformidade legal e contar com os melhores recursos de proteção de cibersegurança é escolher bem seus fornecedores, especialmente os que podem ter acesso aos dados sensíveis.
Pesquise se a empresa conta com todas as certificações de segurança e está em conformidade legal, adotando o padrão de data centers e sob as normas da LGPD, bem como certifique-se que o controle de acesso seja feito de forma rigorosa, com controle a determinadas informações por perfil.
A autenticação multifator é imprescindível, assim como o monitoramento constante das atividades e suporte imediato em caso de qualquer movimentação diferente do padrão, por isso é muito importante verificar as avaliações dos usuários e a reputação da empresa.
Implementando o Compliance: passo a passo para o Departamento Pessoal
Para as empresas que pretendem implementar o compliance na cibersegurança e tem foco em proteger os dados biométricos e sensíveis, montamos um guia para orientar esse processo:
Mapeamento de dados (Data Mapping): do recrutamento ao desligamento
Na fase de mapeamento dos dados, Data Mapping, o foco deve estar em identificar quais dados serão coletados no processo de recrutamento, como currículo, endereço, outros dados pessoais e profissionais e como armazená-los em segurança, utilizando-os estritamente no processo seletivo.
Uma das recomendações é não deixar nenhum dos dados nas mãos de terceiros, como currículos sobre a mesa, arquivos abertos no computador ao alcance de todos ou pastas contendo os dados dos candidatos, e o uso de plataformas de recrutamento pode e deve ser controlado, se possível, auditado.
No processo de contratação, um bom acordo de compliance envolve a coleta somente dos dados sensíveis permitidos por leis e o armazenamento em criptografia. Ressaltamos que alguns desses dados, como exames médicos e informações sobre a saúde do colaborador, devem ter seu acesso restrito de forma ainda maior, permitindo sua visualização apenas ao gestor direto e ao médico do trabalho, além de ter sua manipulação rastreada.
Já com relação a documentos relativos à jornada de trabalho e verbas de remuneração, a dica é mapear todo o caminho percorrido por eles, desde sua elaboração ao compartilhamento e envio a terceiros, e principalmente exercer um controle de acesso rígido, impedindo também o uso de dispositivos que façam cópias não autorizadas.
E por fim, quando no desligamento, o processo natural deve ser realizado respeitando todas as regras, e o acesso aos documentos de rescisão, como entrevista de desligamento, exame demissional e o termo de rescisão com a verbas rescisórias devem ser armazenados apenas de forma digital, descartando todos os documentos físicos.
É imprescindível revogar o acesso do colaborador desligado aos sistemas da empresa e e-mail corporativo ainda durante o processo de desligamento, quando ele estiver sendo informado, e o armazenamento dos seus documentos previdenciários, fiscais e trabalhistas deve seguir a legislação, o que pode variar de 5 a 30 anos.
O papel do Encarregado de Dados (DPO) na rotina do RH
O DPO, ou Data Protection Officer, tem o papel de “guardião”. É indispensável, e tem papel estratégico na conformidade da coleta, armazenamento e acesso aos dados com a LGPD e a cibersegurança, especialmente em setores que reúnem alguns dos mais sensíveis dados da empresa.
Seu papel é identificar e traçar todo o caminho percorrido pelos dados sensíveis, desde o recrutamento até o desligamento. Outra missão do DPO é a implementação das soluções técnicas para impedir que os dados sensíveis sejam vazados ou roubados, através da gestão de riscos e cibersegurança.
O DPO também fica responsável pelo treinamento dos colaboradores, de forma a orientá-los sobre as práticas ideais para manuseio e armazenamento dos dados de terceiros, bem como da adequação dos contratos de trabalho com os fornecedores de serviços de acordo com as normas da LGPD e as regras da ANPD.
