PRO-LGPD-003 – Procedimento de Gestão de Consentimento

Controle Documental

Campo	Informação
Código	PRO-LGPD-003
Versão	1.1
Data de Emissão	Abril/2025
Próxima Revisão	Março/2027
Aprovado por	DPO / Diretoria
Classificação	Uso Interno
LGPD	Art. 7º, I; Art. 8º; Art. 15; Art. 18, IX
Referências	PSI-018; FOR-LGPD-004; RAT-001 (T10, T11)

Histórico de Revisões

Versão	Data	Autor	Descrição
1.0	Abr/2025	DPO	Emissão inicial
1.1	Mar/2026	DPO	Revisão periódica do documento

1. Objetivo

Estabelecer os critérios para obtenção, registro, gestão e processamento da revogação do consentimento como base legal para tratamento de dados pessoais, conforme os arts. 7º, I, 8º e 18, IX da LGPD.

2. Escopo

Aplica-se exclusivamente às atividades de tratamento que utilizam consentimento como base legal:

Atividade	Código RAT	Tipo de Consentimento
Banco de talentos de candidatos	T10	Consentimento para retenção dos dados além do processo seletivo
Comunicações institucionais e marketing	T11	Consentimento para envio de comunicações

Importante: Exames ocupacionais (T01–T04), PCMSO, PGR, LTCAT e gestão de RH (T06, T07) não dependem de consentimento — têm base em obrigação legal (art. 7º, II e art. 11, II, a). Este procedimento não se aplica a essas atividades.

3. Requisitos do Consentimento Válido

Conforme art. 8º da LGPD, o consentimento deve ser:

Requisito	Descrição	Como a METRA garante
Livre	Sem coerção ou condicionamento indevido	Informar que a negativa não prejudica o processo seletivo ou o serviço contratado
Informado	Titular deve saber exatamente o que está autorizando	Termo detalhado (FOR-LGPD-004) com finalidade, dados, prazo e direitos
Inequívoco	Manifestação afirmativa, clara e positiva	Assinatura física no FOR-LGPD-004; jamais checkbox pré-marcado
Para finalidade determinada	Consentimento genérico é nulo	Um termo por finalidade específica
Por escrito (quando exigido)	LGPD exige forma escrita para dados sensíveis	FOR-LGPD-004 sempre por escrito para a METRA
Gratuito para revogar	Revogação sem custo e sem justificativa	Canal de revogação informado no termo

4. Obtenção do Consentimento

4.1 Banco de Talentos (T10)

Quando obter: ao encerrar o processo seletivo, se houver interesse em manter os dados do candidato para futuras vagas.

Responsável: RH / gestor responsável pelo processo seletivo.

Forma: assinatura do FOR-LGPD-004, Modelo A (físico ou digitalizado).

O que informar ao candidato:

Que a participação no banco de talentos é voluntária;
Que a negativa não afeta a avaliação na seleção atual;
Quais dados serão mantidos e por quanto tempo (12 meses);
Como revogar.

4.2 Comunicações Institucionais e Marketing (T11)

Quando obter: no primeiro contato com prospects, em eventos, em formulários de cadastro, ou quando cliente/parceiro manifesta interesse em receber comunicações.

Responsável: área comercial / marketing, com supervisão do DPO.

Forma: assinatura do FOR-LGPD-004, Modelo B (físico) ou opt-in digital com registro (print, log de sistema).

O que informar:

Tipos específicos de comunicação (o titular escolhe quais aceita);
Frequência aproximada;
Canal para revogação (link de descadastramento no e-mail / e-mail do DPO).

5. Registro do Consentimento

Todo consentimento obtido deve ser registrado para fins de comprovação (art. 8º, §2º, LGPD: ônus da prova é do controlador):

Elemento a registrar	Onde registrar
Cópia do FOR-LGPD-004 assinado	Arquivo físico ou digitalizado (Microsoft 365)
Data e hora da obtenção	No próprio formulário
Canal / contexto	No próprio formulário
Dados consentidos	No próprio formulário
Versão do termo utilizado	No próprio formulário (versão 1.0)

Guarda: enquanto o consentimento for válido + 5 anos após revogação (para comprovação em eventual questionamento).

6. Gestão da Vigência

6.1 Banco de Talentos

Validade: 12 meses a partir da data de assinatura;
30 dias antes do vencimento: contatar o titular para renovar ou solicitar eliminação dos dados;
Se sem resposta: eliminar os dados ao fim do prazo;
Registrar eliminação na tabela de controle do FOR-LGPD-004.

6.2 Comunicações

Sem prazo fixo — vigente até revogação;
Revisar anualmente a lista de consentimentos ativos para identificar consentimentos inativos (sem abertura de e-mail por mais de 12 meses) e avaliar eliminação por legítimo interesse ou contato para renovação.

7. Revogação do Consentimento

7.1 Canais de revogação disponíveis:

Canal	Responsável	Prazo de processamento
E-mail ao DPO: [e-mail do DPO]	DPO	Até 5 dias úteis
Link "cancelar inscrição" em e-mails marketing	Automático / área comercial	Imediato
Formulário físico (FOR-LGPD-002)	DPO	Até 5 dias úteis

7.2 Processamento da revogação:

DPO ou responsável recebe solicitação;
Confirma identidade do solicitante (art. 18, IX, LGPD);
Executa a revogação nos sistemas em até 5 dias úteis:
- Remove do banco de talentos (T10): eliminar dados do candidato;
- Remove de listas de comunicação (T11): descadastrar do canal de envio;
Confirma ao titular que a revogação foi realizada;
Registra no controle do FOR-LGPD-004;
Registra em FOR-LGPD-001 se a revogação foi feita via solicitação formal.

7.3 Efeitos da revogação:

Efeito	Detalhamento
Não retroativo	Não afeta o tratamento realizado antes da revogação (art. 15, LGPD)
Imediato para novos tratamentos	A partir da revogação, cessar o tratamento baseado no consentimento
Pode inviabilizar serviço	Se o consentimento era condição do serviço, informar o titular antes da revogação

8. Situações em que o Consentimento Não é a Base Adequada

A METRA não deve usar consentimento como base legal quando:

Situação	Base Adequada
Exames ocupacionais exigidos por lei	Art. 11, II, a (obrigação legal)
Dados de colaboradores para folha de pagamento	Art. 7º, II e V (obrigação legal + contrato)
Logs de TI para segurança da informação	Art. 7º, IX (legítimo interesse)
Dados de clientes para execução do contrato	Art. 7º, V (execução de contrato)

O uso de consentimento nessas situações cria problema: o titular pode revogar e alegar que o tratamento é ilegal — sendo que a base real é legal e o consentimento era desnecessário.

9. Responsabilidades

Responsável	Atribuição
DPO	Supervisionar todo o ciclo de gestão de consentimento; definir modelos de termos; processar revogações formais; manter registros
RH	Obter e arquivar consentimentos de candidatos (T10); informar DPO de revogações recebidas
Área Comercial	Obter consentimentos para comunicações (T11); processar descadastramentos; informar DPO

10. Disposições Finais

Este procedimento será revisado sempre que houver:

Mudança na regulamentação da ANPD sobre consentimento;
Criação de nova atividade de tratamento baseada em consentimento;
Revisão anual do SGSI.