NR-01 e LGPD: como adequar a gestão dos riscos psicossociais sem criar novos riscos jurídicos

Por Vanderlei Mendes Antão

A atualização da NR-01 ampliou a atenção das empresas aos riscos psicossociais, incluindo temas como estresse ocupacional, assédio e burnout.

O que muitas organizações ainda não perceberam é que a gestão desses riscos frequentemente envolve o tratamento de dados pessoais, criando uma conexão direta com a Lei Geral de Proteção de Dados Pessoais (LGPD).

Por que NR-01 e LGPD precisam ser analisadas juntas?

A NR-01 trata da saúde e segurança do trabalhador. A LGPD trata da proteção dos dados pessoais.

As duas normas se encontram quando a empresa realiza atividades como:

• Pesquisas de clima organizacional;
• Avaliações de saúde mental;
• Questionários sobre assédio;
• Entrevistas individuais;
• Canais de denúncia.

Como essas iniciativas podem envolver informações relacionadas à saúde dos empregados, a empresa passa a lidar com dados pessoais sensíveis, que exigem cuidados adicionais.

A NR-01 não elimina as obrigações da LGPD

A necessidade de avaliar riscos psicossociais não autoriza coleta indiscriminada de informações pessoais.

Mesmo cumprindo a NR-01, a empresa continua obrigada a observar os princípios da LGPD, como:

• Finalidade;
• Necessidade;
• Transparência;
• Segurança;
• Prestação de contas.

Além disso, cada atividade deve possuir uma hipótese adequada para o tratamento dos dados pessoais.

Menos dados pode significar menos riscos

Nem sempre é necessário identificar trabalhadores individualmente para compreender um problema organizacional. Sempre que possível, a empresa deve priorizar:

• Dados agregados;
• Dados anonimizados;
• Dados pseudonimizados.

Por exemplo, informar que determinado setor apresenta altos índices de estresse costuma ser mais seguro do que identificar nominalmente colaboradores com sinais de burnout.

Essa abordagem reduz riscos de exposição, discriminação e vazamentos.

Saúde mental exige proteção de dados pessoais reforçada

Informações relacionadas à ansiedade, depressão, burnout ou outras condições de saúde não devem circular livremente dentro da organização. Para reduzir riscos, é recomendável adotar:

• Controle de acesso;
• Restrição de compartilhamentos;
• Registro de acessos;
• Políticas de segurança;
• Treinamento dos colaboradores.

A conformidade não depende apenas de documentos, mas da aplicação efetiva desses controles na rotina da empresa.

Atenção aos canais de denúncia

Os canais de denúncia costumam reunir informações altamente sensíveis relacionadas a:

• Assédio moral;
• Assédio sexual;
• Discriminação;
• Violações de conduta.

Sem regras claras de acesso, armazenamento e retenção, esses registros podem gerar riscos trabalhistas, reputacionais e regulatórios.

O impacto de um vazamento

Se informações sobre saúde mental forem expostas indevidamente, a empresa poderá enfrentar:

Consequências trabalhistas

• Pedidos de indenização;
• Alegações de discriminação;
• Danos morais.

Consequências relacionadas à LGPD

• Atendimento de solicitações dos titulares sobre seus dados pessoais;
• Investigações regulatórias pela Agência Nacional de Proteção de Dados;
• Comunicação de incidentes;
• Responsabilização administrativa e necessidade de adoção de medidas corretivas;
• Danos à reputação e perda de confiança de empregados e parceiros.

O papel da governança

A principal conexão entre NR-01 e LGPD está na governança.

Enquanto a NR-01 exige evidências da gestão dos riscos ocupacionais, a LGPD exige evidências da proteção dos dados pessoais.

Por isso, áreas como RH, SST, jurídico, compliance e tecnologia precisam atuar de forma integrada.

Quando cada setor trabalha isoladamente, aumentam as chances de falhas e inconsistências.

Como um Encarregado externo pode ajudar?

O Encarregado pelo tratamento de dados pessoais pode apoiar a organização na:

• Identificação de riscos;
• Revisão dos fluxos de tratamento;
• Definição de controles;
• Gestão de incidentes;
• Orientação contínua sobre conformidade.

O objetivo não é apenas produzir documentos, mas garantir que os controles funcionem efetivamente na prática.

A conformidade entre NR-01 e LGPD exige mais do que boas intenções

A gestão dos riscos psicossociais prevista na NR-01 representa um avanço importante para a proteção dos trabalhadores. No entanto, sempre que essa gestão envolver informações relacionadas a informações pessoais dos empregado, a LGPD também passa a fazer parte da equação.

Empresas que tratam esses temas de forma integrada conseguem reduzir riscos, fortalecer sua governança e demonstrar maior conformidade perante clientes, parceiros e órgãos reguladores.

Por isso, antes de implementar pesquisas, avaliações psicossociais ou novos canais de denúncia, vale a pena revisar como os dados serão coletados, utilizados, armazenados e protegidos. Uma análise preventiva costuma ser muito mais eficiente do que lidar com as consequências de um incidente ou de uma fiscalização futura.