LGPD na Terceirização: Boas Práticas no Compartilhamento de Dados com Prestadores de Serviço
A rotina de contratação de serviços movimenta um volume massivo de dados pessoais sensíveis e convencionais entre contratante e prestadora. Em cada ciclo de homologação e monitoramento mensal, informações como nome completo, CPF, RG, endereço residencial, carteira de trabalho, comprovantes de recolhimento de encargos, registros de treinamentos normativos e atestados de saúde ocupacional transitam entre diferentes departamentos.
Para manter a conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018), esse intercâmbio contínuo não pode ocorrer sem governança, base legal documentada e limites técnicos bem definidos.
A ausência de critérios rigorosos na gestão de fornecedores terceirizados expõe a organização a sanções da Autoridade Nacional de Proteção de Dados (ANPD) e agrava passivos em fiscalizações do trabalho.
Qual é o fluxo concreto de dados entre a contratante e a empresa prestadora?
O compartilhamento de dados na terceirização começa muito antes do início operacional das atividades e se renova a cada competência mensal com o envio de comprovações trabalhistas e de segurança do trabalho.
O que a LGPD exige para validar o trânsito de dados de terceiros?
O trânsito de informações entre tomador e prestador requer três pilares de sustentação jurídica e operacional:
Quais são as 3 falhas operacionais mais frequentes que expõem as empresas?
A maioria dos passivos decorrentes do compartilhamento de informações na terceirização decorre de falhas operacionais na rotina dos setores de Compras, Recursos Humanos e Departamento Pessoal.
1. Falta de mapeamento dos dados coletados (Data Mapping)
Muitas empresas não sabem exatamente quais dados de terceirizados entram na organização, quem tem acesso aos arquivos e onde eles ficam armazenados.
Planilhas compartilhadas sem controle de privilégios e e-mails com anexos contendo holerites e espelhos de ponto de terceiros criam vulnerabilidades graves de vazamento sem qualquer registro de trilha de auditoria.
2. Inexistência de DPA e cláusulas protetivas nos contratos de serviços
Contratos antigos ou minutas padrões frequentemente ignoram as obrigações da Lei Geral de Proteção de Dados.
Sem cláusulas claras sobre o tratamento de dados de trabalhadores terceirizados segundo a LGPD, a contratante perde o direito de exigir auditorias técnicas na prestadora e assume riscos desproporcionais caso o fornecedor sofra um vazamento de sua base interna.
3. Ausência de política de descarte e retenção documental
Após a rescisão do contrato de prestação de serviços ou a desmobilização de um colaborador terceiro, os documentos continuam armazenados indefinidamente em pastas de rede ou arquivos físicos.
A conservação de dados após o término do tratamento só é admitida para o cumprimento de prazos prescricionais legais (como os prazos trabalhistas e previdenciários). Manter documentos além desse prazo viola diretamente o artigo 16 da LGPD.
O ponto cego da operação: o tratamento de dados pessoais sensíveis na segurança do trabalho
Um dos erros mais comuns na rotina de conformidade envolve a área de Saúde e Segurança do Trabalho (SST). Ao auditar a aptidão de um trabalhador terceiro para áreas operacionais, muitas contratantes exigem cópias integrais de exames médicos, prontuários ocupacionais ou atestados com Código Internacional de Doenças (CID).
O Atestado de Saúde Ocupacional (ASO) deve conter apenas a indicação de "apto" ou "inapto" para a função, sem a descrição diagnóstica de exames clínicos, ressalvadas previsões normativas específicas.
Quando a contratante armazena laudos com diagnósticos médicos sem necessidade técnica, ela assume a posição de controladora de dados altamente sensíveis sem amparo regulatório. Esse excesso compromete a defesa da empresa tanto na ANPD quanto em ações civis de reparação de danos.
Como a ANPD e a Justiça do Trabalho convergem na exigência de conformidade?
A fiscalização sobre a terceirização não ocorre mais em silos isolados. O Judiciário Trabalhista e a Autoridade Nacional de Proteção de Dados representam os ambientes mais rigorosos de auditoria para as empresas tomadoras de serviço.
A Súmula 331 do Tribunal Superior do Trabalho exige a fiscalização mensal do cumprimento das obrigações trabalhistas e previdenciárias da prestadora para afastar a responsabilidade subsidiária da tomadora. Isso impõe a retenção de guias de FGTS, folhas de pagamento e certidões.
Se essa conferência for executada de maneira desordenada, gerando exposição indevida dos dados dos terceirizados, a empresa se defende do passivo trabalhista enquanto cria uma infração perante a LGPD.
A ausência de um DPA firmado entre as partes enfraquece a defesa jurídica nas duas esferas, demonstrando negligência tanto na governança de fornecedores quanto na tutela da privacidade.
Como aplicar boas práticas de LGPD na gestão de fornecedores terceirizados?
Para transformar obrigações legais em segurança operacional cotidiana, as lideranças de RH, DP, TI e Jurídico devem adotar diretrizes claras:
Como a tecnologia da Insoft4 assegura a conformidade de ponta a ponta?
A automação e a inteligência de dados são fundamentais para viabilizar o controle rigoroso de prestadores sem sobrecarregar as equipes internas de Recursos Humanos e Segurança Patrimonial.
Com o software GT Soft, a Insoft4 entrega uma infraestrutura completa para a gestão de documentos de prestadores de serviço:
Quer eliminar a vulnerabilidade jurídica no compartilhamento de dados com seus prestadores e modernizar o controle de terceiros com total conformidade?
Converse com os especialistas da Insoft4 e descubra como automatizar a gestão de terceiros da sua empresa com segurança jurídica e eficiência operacional.
