Ponto biométrico, refeitório, ônibus fretado: a LGPD que a têxtil catarinense ignora

Quando a gente senta com dono de confecção ou de tecelagem no Vale do Itajaí, a primeira reação é sempre a mesma: "LGPD é coisa de banco, de app, de e-commerce". Não é. É coisa de folha de ponto, de PCMSO, de contrato com a Renner ou com a Riachuelo, de planilha que vai pro fornecedor de Guangdong pra conferência de amostra.

A indústria têxtil catarinense trata dado pessoal em volume gigante e, na maioria das plantas que a gente já auditou, sem nenhum controle formal. Vamos direto aos seis pontos que realmente pesam.

O ponto biométrico da linha de produção é dado sensível, gostando ou não

Digital, geometria da mão, reconhecimento facial na catraca: tudo isso é dado biométrico, e a LGPD classifica biometria como dado pessoal sensível no art. 5º, II. Não é uma opinião nossa, é a lei.

A boa notícia: existe base legal sólida pra isso. O empregador tem obrigação de controlar jornada (Portaria 671/2021 do Ministério do Trabalho), então a base é cumprimento de obrigação legal (art. 7º, II e art. 11, II, "a"). O problema não é usar biometria. É guardar o template biométrico sem criptografia, deixar ele acessível pro RH inteiro, ou reter o dado do funcionário demitido há três anos.

• Template biométrico deve ficar em servidor separado do banco de dados de RH comum
• Acesso restrito a quem opera o sistema de ponto, não a todo o setor de pessoal
• Exclusão do template em até 90 dias após o desligamento, salvo obrigação de guarda trabalhista

Refeitório e cesta básica: o CPF que ninguém pensou que fosse dado pessoal

Cartão de refeitório com desconto em folha, cadastro no PAT (Programa de Alimentação do Trabalhador), lista de quem tem restrição alimentar por questão de saúde: tudo isso é dado pessoal circulando com o pessoal da cozinha terceirizada, que normalmente nem é funcionário da têxtil.

Na prática: se você terceiriza o refeitório, a empresa de alimentação é operadora de dados nos termos da LGPD. Isso significa contrato escrito especificando o que ela pode fazer com aquela lista de nomes, CPFs e restrições. A maioria das têxteis que vimos em Blumenau não tem essa cláusula, só o contrato comercial de fornecimento de refeição.

Ônibus fretado: rota, endereço de embarque e o motorista que também é titular

Fretamento de funcionário revela ponto de embarque, que costuma revelar bairro e às vezes endereço residencial. Some isso ao roteiro compartilhado com a transportadora terceirizada e você tem outro fluxo de dado pessoal saindo do controle direto da empresa.

Nossa leitura: o risco aqui não é multa, é vazamento por descuido. Lista de embarque impressa esquecida no ônibus, planilha de rota compartilhada por e-mail sem senha, motorista de app corporativo com acesso a dado de trabalhador que não deveria ver. Vale revisar o contrato com a transportadora do mesmo jeito que se revisa o do refeitório.

Exame admissional e demissional: PCMSO é dado de saúde, ponto final

Exame ocupacional, laudo audiométrico, resultado de exame toxicológico pra quem dirige empilhadeira: dado de saúde é sensível (art. 5º, II) e a base legal é a tutela da saúde, exclusivamente por profissional de saúde (art. 11, II, "f"), ou cumprimento de obrigação legal via NR-7.

Falando sério: o erro mais comum que vemos não é a coleta, é o acesso. Resultado de exame ocupacional deveria ficar com o médico do trabalho e o SESMT, não circular em e-mail do RH pra justificar falta ou pra decisão de desligamento. Se o gestor de produção sabe o diagnóstico do colaborador, alguém errou o desenho do processo.

A varejista mandou cláusula LGPD no contrato: o que assinar e o que não assinar

Se sua confecção vende pra Renner, C&A, Riachuelo, Marisa ou qualquer rede grande, provavelmente já recebeu aditivo de contrato com cláusula de proteção de dados e auditoria de compliance social (BSCI, SA8000, SEDEX). Isso costuma incluir acesso a dados de trabalhadores da linha de produção durante inspeção social.

Antes de assinar de olho fechado:

• Exija que a cláusula defina exatamente qual dado será acessado e por quanto tempo será retido
• Peça reciprocidade: se você tem obrigação de reportar incidente em 48h, a varejista também tem
• Não aceite cláusula de responsabilidade solidária irrestrita por incidente causado por sistema da própria varejista
• Verifique se a auditoria social vai entrevistar funcionário e gravar isso, porque aí voltamos ao art. 11

Fornecedor da Ásia: transferência internacional não é só "mandar planilha"

Ficha técnica, foto de amostra, especificação de tecido: normalmente não tem dado pessoal, e aí não tem problema de LGPD. O problema aparece quando junto vai lista de funcionário pra auditoria de compliance do comprador internacional, ou quando o inspetor da trading asiática precisa de nome e CPF de quem trabalhou naquele lote.

China não está na lista de países com grau de proteção adequado reconhecido pela ANPD. Isso significa que transferência de dado pessoal pra lá, ainda que pontual, precisa de uma das hipóteses do art. 33: cláusula contratual específica, cláusula padrão (quando a ANPD publicar modelo), ou consentimento específico do titular pra aquela transferência. Na prática, a saída mais viável hoje é reduzir o que é enviado: manda código do lote, não manda nome do funcionário que costurou aquele lote.

O que fazer nas próximas duas semanas

Não precisa reformar a fábrica inteira de uma vez. Precisa parar de tratar dado pessoal como se fosse papel de embrulho.

• Mapear em uma planilha simples: quem coleta biometria, quem tem acesso ao PCMSO, quem manda dado pra transportadora e pra fornecedor asiático
• Revisar (ou criar) o contrato com a empresa de refeitório e a de fretamento, incluindo cláusula de operador de dados
• Nomear encarregado de dados (DPO), obrigatório pra todo controlador segundo o art. 41, mesmo que seja alguém do jurídico ou do RH acumulando a função
• Ler com calma a próxima cláusula LGPD que a varejista mandar, antes de assinar por pressa de manter o pedido
• Verificar se sua empresa se enquadra no regime simplificado da Resolução CD/ANPD 02/2022 (micro, pequena empresa ou EPP), porque isso muda prazo e formalidade de vários itens acima

Multa da ANPD chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Mas a experiência da banca mostra que o dano maior costuma vir antes disso: processo trabalhista com pedido de indenização por exposição de dado de saúde, ou perda de contrato com varejista por falha em auditoria de compliance. É isso que resolve primeiro.