Uma confecção de médio porte em Blumenau pode ter 300 funcionários, 40 fornecedores e 15 clientes varejistas. São dados pessoais circulando em pelo menos oito frentes diferentes ao mesmo tempo. O ponto biométrico coleta impressão digital todo dia. O médico do trabalho gera ASO todo semestre. A van do fretado sabe onde cada trabalhador mora. O refeitório registra quem comeu o quê.
Nenhum desse fluxos é simples do ponto de vista da LGPD. E quando o varejista manda o contrato novo com cláusula de proteção de dados, a empresa percebe que está descoberta em várias frentes ao mesmo tempo. Esse post mapeia cada uma delas.
Ponto biométrico: você coletou dado sensível sem avisar ninguém
Impressão digital é dado biométrico. Dado biométrico é dado pessoal sensível, art. 5º, inciso II da Lei 13.709/2018. Isso muda completamente o que a empresa precisa fazer para usar ponto eletrônico com biometria.
Para tratar dado sensível, a base legal precisa ser uma das hipóteses do art. 11. Na relação de emprego, as mais usadas são consentimento livre do trabalhador ou cumprimento de obrigação legal. O problema do consentimento em vínculo de emprego é evidente: funcionário que depende do trabalho dificilmente recusa "livremente". A ANPD já sinalizou que consentimento em relação empregatícia tem validade questionável quando há desequilíbrio de poder entre as partes.
Nossa leitura: a base mais defensável para ponto biométrico em indústria têxtil é obrigação legal combinada com legítimo interesse, com registro claro no contrato de trabalho ou aditivo: qual dado é coletado, por quanto tempo fica armazenado e quem tem acesso. Se a empresa usa fornecedor externo de software de ponto, esse fornecedor vira operador de dados e precisa de contrato de processamento formalizado.
Exame ocupacional: a empresa não pode ver o que está no ASO
PCMSO, ASO, exames periódicos. Tudo isso envolve dado de saúde, que é dado sensível. O médico do trabalho é quem processa esse dado. A empresa recebe uma coisa só: apto ou inapto. Só isso.
Na prática, muitas indústrias têxteis em Santa Catarina guardam cópia do ASO completo no prontuário do RH. Hemograma, audiometria, resultado de espirometria, tudo na pasta do funcionário dentro da empresa. Isso é um problema real. O ASO detalhado pertence ao trabalhador e ao médico. A empresa não tem base legal para arquivar diagnóstico ou resultado clínico além da conclusão de aptidão.
O que revisar agora: os prontuários físicos e digitais do RH. Se houver exame completo arquivado, esses documentos não deveriam estar na pasta da empresa. Ficam com o SESI, a clínica ou o médico coordenador. A empresa guarda só a conclusão do ASO. A NR-7 estabelece 20 anos de guarda do prontuário clínico do trabalhador após o desligamento, mas esse prazo é responsabilidade do médico, não do RH da fábrica.
Fretado e refeitório: dois fluxos que ninguém mapeou
O fretado coleta, na prática, o endereço residencial do trabalhador e o horário em que ele sai de casa. Dado de localização com esse nível de detalhe permite inferir onde a pessoa mora, se tem filho em escola no trajeto, rotina diária. Esse dado precisa de base legal, finalidade declarada e prazo de retenção definido. Nenhuma empresa do setor têxtil que já consultamos tinha isso documentado.
Refeitório parece mais simples, mas não é. Se a empresa oferece opção de restrição alimentar por motivo de saúde ou crença religiosa, está coletando dado de saúde ou convicção religiosa. Ambos são sensíveis pelo art. 5º, II. O cardápio diferenciado exige consentimento específico, com opção real de o trabalhador não fornecer o dado sem perder o benefício da refeição.
Na prática: se o sistema de refeitório usa biometria para controle de acesso, é mais um ponto de coleta de dado sensível. Cada terminal biométrico que toca o trabalhador precisa constar no mapeamento de dados da empresa.
Fornecedor da Ásia: transferência internacional que precisa de base legal
Boa parte das indústrias têxteis de Santa Catarina importa insumos ou mantém parceria operacional com fornecedores na China, Bangladesh, Índia ou Vietnã. Quando a empresa envia qualquer dado pessoal para esse fornecedor, seja nome de comprador, dados de representante comercial ou informação cadastral de trabalhador, está fazendo transferência internacional de dados.
O art. 33 da LGPD exige que a transferência internacional só ocorra quando o país de destino oferece grau de proteção adequado, ou quando há garantias suficientes via contrato específico. A ANPD ainda não publicou lista definitiva de países com proteção adequada reconhecida. China, Bangladesh e Vietnã não têm leis de proteção de dados equivalentes à LGPD para fins de transferência automática sem salvaguarda.
O que funciona na prática: cláusulas contratuais de proteção de dados incluídas no contrato com o fornecedor asiático, estabelecendo que os dados serão usados só para a finalidade do negócio, não serão compartilhados com terceiros e que o fornecedor adotará medidas de segurança razoáveis. Não precisa ser um documento de 40 páginas. Precisa existir por escrito e ser renovado quando o contrato for renovado.
O varejista mandou cláusula LGPD: o que assinar?
Desde 2022, varejistas de médio e grande porte passaram a incluir cláusulas de proteção de dados nos contratos com fornecedores da indústria têxtil. Algumas são razoáveis e refletem o que a LGPD já exige de qualquer jeito. Outras transferem toda a responsabilidade para o fornecedor de forma desproporcional.
Antes de assinar, a indústria precisa entender um ponto que a maioria ignora: em relação ao varejista, ela é controladora dos dados dos seus próprios trabalhadores e fornecedores. Em relação a dados de cliente final do varejista que eventualmente chegam à fábrica para personalização de pedido, ela pode ser operadora. Essas posições têm responsabilidades distintas no art. 42 da LGPD. Assinar uma cláusula que mistura os dois papéis como se fossem o mesmo é um problema jurídico concreto.
Falando sério: cláusula que exige que o fornecedor responda por incidente causado pelo varejista, ou que estabelece auditoria irrestrita nos sistemas da fábrica sem limite de escopo, prazo ou objeto, não deve ser assinada sem negociação. É contrato, dá pra negociar. A cláusula de proteção de dados no B2B virou padrão no setor têxtil, mas padrão não significa aceitar como veio.
O que fazer nas próximas 2 semanas
Sem precisar de consultoria longa nem de sistema caro, qualquer indústria têxtil pode avançar com os passos abaixo. O objetivo não é estar 100% conforme em 15 dias, é eliminar os riscos de maior exposição antes da próxima rodada de revisão contratual com clientes.
- Mapear os terminais biométricos: quantos existem, onde ficam, qual fornecedor de software processa os dados, onde esses dados são armazenados. Verificar se há contrato de operação de dados com esse fornecedor.
- Revisar os prontuários do RH: retirar exames médicos completos e manter só o ASO de aptidão. Comunicar o médico coordenador do PCMSO sobre onde ficará o restante da documentação clínica.
- Criar base legal documentada para o fretado: aditivo ao contrato de trabalho ou política interna que explica coleta de endereço, finalidade, quem acessa e prazo de retenção. Uma página resolve.
- Checar contratos com fornecedores asiáticos: se não há cláusula de proteção de dados, incluir ao renovar ou via aditivo. Uma cláusula de meia página já endereça o art. 33 da LGPD.
- Ler a cláusula LGPD antes de assinar com o varejista: identificar se há previsão de auditoria sem limite de escopo, penalidade automática em caso de incidente e como o contrato define controlador e operador.
- Nomear um encarregado (DPO): obrigatório pelo art. 41 da LGPD para todo controlador. Pode ser interno ou terceirizado. Precisa de canal de contato publicado no site ou na política de privacidade da empresa.
Indústria têxtil em Santa Catarina tem ciclo de auditoria B2B acelerado. Os varejistas estão revisando contratos de fornecedores com lupa de compliance desde 2023. Empresa que não tiver esse básico documentado vai perder pedido antes de receber qualquer multa da ANPD.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
