PRO-LGPD-003 – Procedimento de Gestão de Consentimento
PRO-LGPD-003 – Procedimento de Gestão de Consentimento
Controle Documental
| Campo | Informação |
|---|---|
| Código | PRO-LGPD-003 |
| Versão | 1.1 |
| Data de Emissão | Abril/2025 |
| Próxima Revisão | Março/2027 |
| Aprovado por | DPO / Diretoria |
| Classificação | Uso Interno |
| LGPD | Art. 7º, I; Art. 8º; Art. 15; Art. 18, IX |
| Referências | PSI-018; FOR-LGPD-004; RAT-001 (T10, T11) |
Histórico de Revisões
| Versão | Data | Autor | Descrição |
|---|---|---|---|
| 1.0 | Abr/2025 | DPO | Emissão inicial |
| 1.1 | Mar/2026 | DPO | Revisão periódica do documento |
1. Objetivo
Estabelecer os critérios para obtenção, registro, gestão e processamento da revogação do consentimento como base legal para tratamento de dados pessoais, conforme os arts. 7º, I, 8º e 18, IX da LGPD.
2. Escopo
Aplica-se exclusivamente às atividades de tratamento que utilizam consentimento como base legal:
| Atividade | Código RAT | Tipo de Consentimento |
|---|---|---|
| Banco de talentos de candidatos | T10 | Consentimento para retenção dos dados além do processo seletivo |
| Comunicações institucionais e marketing | T11 | Consentimento para envio de comunicações |
Importante: Exames ocupacionais (T01–T04), PCMSO, PGR, LTCAT e gestão de RH (T06, T07) não dependem de consentimento — têm base em obrigação legal (art. 7º, II e art. 11, II, a). Este procedimento não se aplica a essas atividades.
3. Requisitos do Consentimento Válido
Conforme art. 8º da LGPD, o consentimento deve ser:
| Requisito | Descrição | Como a METRA garante |
|---|---|---|
| Livre | Sem coerção ou condicionamento indevido | Informar que a negativa não prejudica o processo seletivo ou o serviço contratado |
| Informado | Titular deve saber exatamente o que está autorizando | Termo detalhado (FOR-LGPD-004) com finalidade, dados, prazo e direitos |
| Inequívoco | Manifestação afirmativa, clara e positiva | Assinatura física no FOR-LGPD-004; jamais checkbox pré-marcado |
| Para finalidade determinada | Consentimento genérico é nulo | Um termo por finalidade específica |
| Por escrito (quando exigido) | LGPD exige forma escrita para dados sensíveis | FOR-LGPD-004 sempre por escrito para a METRA |
| Gratuito para revogar | Revogação sem custo e sem justificativa | Canal de revogação informado no termo |
4. Obtenção do Consentimento
4.1 Banco de Talentos (T10)
Quando obter: ao encerrar o processo seletivo, se houver interesse em manter os dados do candidato para futuras vagas.
Responsável: RH / gestor responsável pelo processo seletivo.
Forma: assinatura do FOR-LGPD-004, Modelo A (físico ou digitalizado).
O que informar ao candidato:
- Que a participação no banco de talentos é voluntária;
- Que a negativa não afeta a avaliação na seleção atual;
- Quais dados serão mantidos e por quanto tempo (12 meses);
- Como revogar.
4.2 Comunicações Institucionais e Marketing (T11)
Quando obter: no primeiro contato com prospects, em eventos, em formulários de cadastro, ou quando cliente/parceiro manifesta interesse em receber comunicações.
Responsável: área comercial / marketing, com supervisão do DPO.
Forma: assinatura do FOR-LGPD-004, Modelo B (físico) ou opt-in digital com registro (print, log de sistema).
O que informar:
- Tipos específicos de comunicação (o titular escolhe quais aceita);
- Frequência aproximada;
- Canal para revogação (link de descadastramento no e-mail / e-mail do DPO).
5. Registro do Consentimento
Todo consentimento obtido deve ser registrado para fins de comprovação (art. 8º, §2º, LGPD: ônus da prova é do controlador):
| Elemento a registrar | Onde registrar |
|---|---|
| Cópia do FOR-LGPD-004 assinado | Arquivo físico ou digitalizado (Microsoft 365) |
| Data e hora da obtenção | No próprio formulário |
| Canal / contexto | No próprio formulário |
| Dados consentidos | No próprio formulário |
| Versão do termo utilizado | No próprio formulário (versão 1.0) |
Guarda: enquanto o consentimento for válido + 5 anos após revogação (para comprovação em eventual questionamento).
6. Gestão da Vigência
6.1 Banco de Talentos
- Validade: 12 meses a partir da data de assinatura;
- 30 dias antes do vencimento: contatar o titular para renovar ou solicitar eliminação dos dados;
- Se sem resposta: eliminar os dados ao fim do prazo;
- Registrar eliminação na tabela de controle do FOR-LGPD-004.
6.2 Comunicações
- Sem prazo fixo — vigente até revogação;
- Revisar anualmente a lista de consentimentos ativos para identificar consentimentos inativos (sem abertura de e-mail por mais de 12 meses) e avaliar eliminação por legítimo interesse ou contato para renovação.
7. Revogação do Consentimento
7.1 Canais de revogação disponíveis:
| Canal | Responsável | Prazo de processamento |
|---|---|---|
| E-mail ao DPO: [e-mail do DPO] | DPO | Até 5 dias úteis |
| Link "cancelar inscrição" em e-mails marketing | Automático / área comercial | Imediato |
| Formulário físico (FOR-LGPD-002) | DPO | Até 5 dias úteis |
7.2 Processamento da revogação:
- DPO ou responsável recebe solicitação;
- Confirma identidade do solicitante (art. 18, IX, LGPD);
- Executa a revogação nos sistemas em até 5 dias úteis:
- Remove do banco de talentos (T10): eliminar dados do candidato;
- Remove de listas de comunicação (T11): descadastrar do canal de envio;
- Confirma ao titular que a revogação foi realizada;
- Registra no controle do FOR-LGPD-004;
- Registra em FOR-LGPD-001 se a revogação foi feita via solicitação formal.
7.3 Efeitos da revogação:
| Efeito | Detalhamento |
|---|---|
| Não retroativo | Não afeta o tratamento realizado antes da revogação (art. 15, LGPD) |
| Imediato para novos tratamentos | A partir da revogação, cessar o tratamento baseado no consentimento |
| Pode inviabilizar serviço | Se o consentimento era condição do serviço, informar o titular antes da revogação |
8. Situações em que o Consentimento Não é a Base Adequada
A METRA não deve usar consentimento como base legal quando:
| Situação | Base Adequada |
|---|---|
| Exames ocupacionais exigidos por lei | Art. 11, II, a (obrigação legal) |
| Dados de colaboradores para folha de pagamento | Art. 7º, II e V (obrigação legal + contrato) |
| Logs de TI para segurança da informação | Art. 7º, IX (legítimo interesse) |
| Dados de clientes para execução do contrato | Art. 7º, V (execução de contrato) |
O uso de consentimento nessas situações cria problema: o titular pode revogar e alegar que o tratamento é ilegal — sendo que a base real é legal e o consentimento era desnecessário.
9. Responsabilidades
| Responsável | Atribuição |
|---|---|
| DPO | Supervisionar todo o ciclo de gestão de consentimento; definir modelos de termos; processar revogações formais; manter registros |
| RH | Obter e arquivar consentimentos de candidatos (T10); informar DPO de revogações recebidas |
| Área Comercial | Obter consentimentos para comunicações (T11); processar descadastramentos; informar DPO |
10. Disposições Finais
Este procedimento será revisado sempre que houver:
- Mudança na regulamentação da ANPD sobre consentimento;
- Criação de nova atividade de tratamento baseada em consentimento;
- Revisão anual do SGSI.