Monitorar sem governança custa mais do que o processo

Contexto

A empresa em questão atua no setor de serviços, com porte médio (faturamento anual estimado em faixas compatíveis com operações entre R$ 50 milhões e R$ 200 milhões). Seu quadro de colaboradores era suficientemente expressivo para que o monitoramento interno fosse tratado como prática de gestão, não como questão de conformidade.

O ponto de partida era aparentemente corriqueiro: a organização monitorava atividades de colaboradores, coletava e armazenava dados pessoais relacionados ao desempenho, comportamento e comunicações internas. Essa prática, em si, não é proibida pela legislação brasileira. O que está proibido é fazê-la sem transparência, sem base legal definida e sem qualquer registro formal do tratamento realizado.

Foi exatamente essa lacuna que abriu a porta para o litígio.

Um ex-colaborador, ao término do vínculo empregatício, ajuizou ação alegando uso indevido de dados pessoais e violação de privacidade durante o período em que esteve na empresa. A ausência de política interna documentada e de registros sobre o tratamento realizado pesou diretamente contra o empregador no curso do processo.

O que parecia um conflito trabalhista ordinário revelou, na instrução processual, uma falha estrutural de governança de dados.

A falha

A empresa não enfrentou uma única falha pontual. O que o processo expôs foi um conjunto de omissões que, somadas, comprometeram qualquer defesa técnica ou jurídica consistente.

Ausência de base legal para o tratamento (art. 7º e art. 11 da LGPD)

O art. 7º da LGPD lista as hipóteses que legitimam o tratamento de dados pessoais. No contexto de relação de emprego, as bases legais mais aplicáveis são o cumprimento de obrigação legal ou regulatória (inciso II), a execução de contrato (inciso V) e o legítimo interesse do controlador (inciso IX). O art. 11 aplica o mesmo raciocínio aos dados sensíveis.

O problema não é que essas bases inexistam para o monitoramento de colaboradores. O problema é que a empresa não havia documentado qual base utilizava, com qual finalidade, em que extensão e por quanto tempo. Sem essa definição, o tratamento realizado era, do ponto de vista jurídico, uma prática sem fundamento demonstrável. No processo, a empresa não conseguiu apresentar qualquer registro que sustentasse a licitude do que fazia.

Violação do princípio da transparência e ausência de informação ao titular (art. 6º, VI, e art. 9º)

O art. 6º, inciso VI, estabelece a transparência como princípio fundante do tratamento. O art. 9º exige que o titular tenha acesso facilitado às informações sobre o tratamento de seus dados, incluindo finalidade, forma, duração, identificação do controlador e direitos do titular.

Os colaboradores não foram informados, de forma clara e acessível, sobre o escopo do monitoramento. Não havia aviso de privacidade interno, não havia cláusula contratual específica sobre o tema e não havia qualquer comunicação que permitisse ao trabalhador saber o que estava sendo coletado, por quê e por quanto tempo seria retido.

Essa omissão transformou uma prática gerencial em uma prática opaca, o que é, nos termos da LGPD, uma violação autônoma, independente de qualquer dano material que o titular consiga demonstrar.

Ausência de registro das operações de tratamento (art. 37)

O art. 37 da LGPD determina que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem. Esse registro é o instrumento central de accountabiliy: é o que permite demonstrar, em caso de fiscalização ou litígio, que o tratamento foi planejado, tem finalidade definida e respeita os princípios da lei.

A empresa não mantinha qualquer registro nesse sentido. Não havia mapeamento de dados de RH, não havia inventário de tratamentos relacionados a colaboradores e não havia documentação sobre ferramentas de monitoramento, bases de dados mantidas ou critérios de retenção.

Em termos práticos, isso significa que a empresa não conseguia responder a perguntas básicas no processo: quais dados eram coletados, quem tinha acesso, onde estavam armazenados e por quanto tempo seriam mantidos após o encerramento do contrato de trabalho.

Ausência de medidas de segurança documentadas (art. 46)

O art. 46 exige que o controlador adote medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. A ausência de política interna de privacidade e de segurança da informação voltada para dados de colaboradores configurou descumprimento desse dispositivo, o que foi utilizado pelo ex-colaborador para reforçar o argumento de tratamento inadequado.

A consequência

Quadro de impacto financeiro

Número real dos fatos travados

Os fatos travados indicam que o ex-colaborador ajuizou ação alegando uso indevido de dados pessoais e violação de privacidade, e que a ausência de política interna e de registro do tratamento pesou contra a empresa. O caso é de ação judicial em curso ou decidida, com pedido de reparação por dano moral e, possivelmente, dano material. Não há, nos fatos fornecidos, um valor pedido ou arbitrado que possa ser citado como âncora numérica precisa. O que existe como âncora qualitativa é a confirmação de que o processo tramitou e de que a defesa da empresa foi fragilizada pela ausência de governança.

Para fins de estruturação do impacto financeiro, os parâmetros abaixo combinam elementos legais fixos com premissas de cenário explicitamente rotuladas.

Leitura do quadro: o núcleo do impacto real é a ação ajuizada pelo ex-colaborador, com a fragilidade da defesa documentada nos próprios fatos. A multa administrativa é um risco adicional, não o risco central neste caso específico. A razão entre custo de remediação e custo de prevenção, mesmo sob premissas conservadoras, aponta para uma ineficiência de alocação entre 5 e 13 vezes.

Impacto operacional e reputacional

O processo expôs a empresa a um risco que vai além do valor da condenação. Durante a instrução, foram solicitados registros e documentos que a empresa simplesmente não tinha. Essa incapacidade de resposta processual reforçou a tese do ex-colaborador e reduziu as opções de defesa a argumentos formais, sem sustentação probatória.

Do ponto de vista operacional, o caso gerou a necessidade imediata de revisão das práticas de monitoramento, o que significa interrupção ou redesenho de processos internos, envolvimento de TI, RH e jurídico simultaneamente, e eventual suspensão de ferramentas em uso.

Do ponto de vista reputacional, processos trabalhistas com esse perfil tendem a se tornar conhecidos dentro da própria empresa. O efeito sobre o clima organizacional, sobre a percepção dos colaboradores ativos e sobre a capacidade de atração de novos talentos é real, ainda que de difícil mensuração direta.

Em processos de due diligence para fusões, aquisições ou credenciamento em cadeias de fornecimento, a existência de ação com esse perfil, combinada com a ausência demonstrada de governança de dados, é um fator de desconto de valuation ou de exclusão do processo.

O custo da inação

O que não aparece no valor da condenação é frequentemente o maior componente do impacto total.

Custo jurídico direto: honorários de defesa, custas processuais, eventual condenação por dano moral e honorários sucumbenciais. Sob premissas conservadoras, esse bloco pode facilmente superar R$ 150.000 em um único processo. Se o precedente interno estimular outros ex-colaboradores a ajuizar ações similares, o multiplicador é proporcional ao número de vínculos afetados pelo mesmo regime de monitoramento.

Custo regulatório: a ANPD pode ser provocada pelo processo ou iniciar fiscalização por iniciativa própria. Uma infração relacionada à ausência de registro (art. 37) e à falta de base legal documentada (art. 7º) são infrações autônomas. Sob a premissa de faturamento de R$ 100 milhões, cada uma delas expõe a empresa a até R$ 2 milhões. Duas infrações: R$ 4 milhões de exposição administrativa máxima.

Custo de remediação forçada: quando a governança é implementada sob pressão de processo ou de autuação, o custo é significativamente maior do que quando planejada. Prazos comprimidos, escopo definido pelo regulador ou pelo juízo e necessidade de evidências imediatas encarecem o projeto entre 3 e 5 vezes em relação ao mesmo trabalho feito em condições normais.

Custo de seguro cyber e de capital: empresas com histórico de litígio relacionado a dados pessoais enfrentam prêmios mais elevados em apólices de seguro cyber e, em processos de captação ou de venda, podem ter o custo de capital ajustado para cima por conta do risco regulatório demonstrado.

Número-síntese de projeção (premissa de cenário, não dado da empresa do caso): somando honorários de defesa, condenação estimada, custo de remediação emergencial e exposição administrativa por duas infrações, o intervalo plausível de impacto total vai de R$ 280.000, em um cenário favorável com condenação baixa e sem autuação, a mais de R$ 4,5 milhões em um cenário com autuação da ANPD e condenação no teto da faixa trabalhista. O programa de prevenção teria custado uma fração inferior a 10% do limite inferior desse intervalo.

Espelhe na sua operação

Antes de fechar este documento, aplique quatro perguntas diretas à sua própria organização.

1. Você sabe exatamente quais dados de colaboradores a sua empresa coleta, onde estão e por quanto tempo são retidos? Se a resposta não for imediata e documentada, você está na mesma posição da empresa deste caso.

2. Seus colaboradores receberam, por escrito, informação clara sobre o escopo do monitoramento ao qual estão sujeitos? A ausência desse comunicado é uma violação do art. 9º da LGPD que pode ser alegada por qualquer colaborador, ativo ou ex-colaborador.

3. Existe um registro formal das operações de tratamento de dados de RH, com base legal, finalidade e prazo de retenção definidos? Sem esse registro, a defesa em qualquer processo ou fiscalização começa do zero.

4. Quanto custaria uma autuação por duas infrações autônomas da LGPD na sua empresa? O cálculo é direto: faturamento bruto anual no Brasil (excluídos tributos) × 2% = exposição por infração. Multiplique pelo número de infrações identificadas no seu mapeamento. Se você não tem mapeamento, esse número é incalculável, o que é, por si só, um dado relevante para a sua liderança.

Mini cálculo para o leitor:

Exposição administrativa estimada =
  Faturamento bruto anual (excl. tributos) × 2% × nº de infrações identificadas
  [limitado a R$ 50 milhões por infração, conforme art. 52 da LGPD]

Se o resultado superar o orçamento anual do seu programa de conformidade, a alocação precisa ser revisada.

O aprendizado

O caso demonstra que o risco de dados de colaboradores não é uma abstração regulatória. É um risco trabalhista, regulatório e reputacional concreto, que se materializa em processos reais, com defesa fragilizada exatamente pela ausência dos documentos mais básicos de governança.

A governança de dados de colaboradores exige, no mínimo, quatro elementos que a LGPD2U implementa como parte de um programa estruturado e contínuo.

Mapeamento de tratamentos de RH. Saber o que é coletado, por quem, com qual finalidade e por quanto tempo. Esse é o ponto de partida para qualquer defesa e para qualquer adequação.

Definição e documentação da base legal por tratamento. Para cada operação de monitoramento ou coleta de dado de colaborador, a base legal precisa estar identificada, registrada e justificada. Não basta que a base exista: ela precisa estar documentada.

Política interna de privacidade e monitoramento. Um documento acessível, comunicado formalmente a todos os colaboradores, que descreva o escopo do tratamento, os direitos dos titulares e os canais de exercício desses direitos. Esse documento é a primeira linha de defesa em qualquer litígio.

Revisão periódica. Governança de dados não é projeto com data de entrega. Ferramentas mudam, práticas de RH mudam, a própria regulamentação evolui. A LGPD2U opera com ciclos de revisão que garantem que o programa não envelhece entre auditorias.

O que o caso evidencia, acima de tudo, é que a ausência de governança não é neutra. Ela cria exposição ativa, que se materializa quando o primeiro colaborador insatisfeito decide exercer seus direitos. Nesse momento, a empresa que não se preparou não está em desvantagem. Está desarmada.

Fontes

• Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), art. 6º (princípios), art. 7º (bases legais para dados pessoais), art. 9º (direitos do titular à informação), art. 11 (bases legais para dados sensíveis), art. 37 (registro de operações de tratamento), art. 46 (segurança e sigilo de dados), art. 52 (sanções administrativas): https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• Autoridade Nacional de Proteção de Dados (ANPD), Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023): https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/resolucao-cd-anpd-no-4-de-24-de-fevereiro-de-2023-regulamento-de-dosimetria.pdf
• Consolidação das Leis do Trabalho (CLT), arts. 482 e 483, referência para obrigações e direitos no vínculo empregatício: https://www.planalto.gov.br/ccivil_03/decreto-lei/del5452.htm
• Tribunal Superior do Trabalho, jurisprudência sobre danos morais por violação de privacidade e monitoramento de colaboradores: https://www.tst.jus.br/web/guest/jurisprudencia