PSI-018 – Política de Privacidade e Proteção de Dados Pessoais
PSI-018 – Política de Privacidade e Proteção de Dados Pessoais
Controle Documental
| Campo | Informação |
|---|---|
| Código | PSI-018 |
| Versão | 1.0 |
| Data de Emissão | Julho/2026 |
| Próxima Revisão | Julho/2027 |
| Aprovado por | Diretoria / DPO |
| Classificação | Uso Interno |
| ISO 27001:2022 | Requisito 5.34 |
| ISO 27002:2022 | Controle 5.34 |
Histórico de Revisões
| Versão | Data | Autor | Descrição |
|---|---|---|---|
| 1.0 | Jul/2026 | DPO |
Emissão inicial |
1. Objetivo
Esta Política estabelece os princípios, responsabilidades e diretrizes que regem o tratamento de dados pessoais pela METRA – Medicina e Segurança do Trabalho, em conformidade com a Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) e com as boas práticas da ABNT NBR ISO/IEC 27001:2022.
A Política visa garantir que todo tratamento de dados pessoais realizado pela METRA seja lícito, legítimo, transparente, proporcional e seguro, preservando os direitos fundamentais de liberdade e privacidade dos titulares.
2. Escopo
Esta Política aplica-se a:
- Todos os colaboradores da METRA, independentemente do vínculo (CLT, prestadores de serviço, estagiários);
- Todos os sistemas, processos e atividades que envolvam tratamento de dados pessoais, em qualquer meio (digital, físico ou verbal);
- Fornecedores e parceiros que tratem dados pessoais em nome da METRA ou em conjunto com ela;
- Dados tratados nas unidades da METRA e em ambientes de trabalho remoto.
3. Referências Normativas
| Documento | Descrição |
|---|---|
| LGPD – Lei nº 13.709/2018 | Lei Geral de Proteção de Dados Pessoais |
| Resolução CD/ANPD nº 2/2022 | Regulamento de aplicação da LGPD para agentes de pequeno porte |
| ABNT NBR ISO/IEC 27001:2022 | Sistemas de gestão de segurança da informação – Requisito 5.34 |
| ABNT NBR ISO/IEC 27002:2022 | Controles de segurança da informação – Controle 5.34 |
| Resolução CFM nº 1.851/2008 | Sigilo médico e limitação do conteúdo do ASO |
| CLT – Consolidação das Leis do Trabalho | Obrigações trabalhistas que envolvem tratamento de dados |
| NR-7 (MTE) | Programa de Controle Médico de Saúde Ocupacional |
| NR-1 (MTE) | Gerenciamento de Riscos Ocupacionais |
| PSI-001 | Política de Segurança da Informação |
| PSI-014 | Política de Resposta a Incidentes |
| PRO-LGPD-001 | Procedimento de Atendimento aos Direitos dos Titulares |
| RAT-001 | Registro de Atividades de Tratamento |
4. Definições
| Termo | Definição (conforme LGPD art. 5º) |
|---|---|
| Dado pessoal | Informação relacionada a pessoa natural identificada ou identificável |
| Dado sensível | Dado sobre origem racial, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico (art. 5º, II) |
| Titular | Pessoa natural a quem se referem os dados pessoais (art. 5º, V) |
| Controlador | Pessoa natural ou jurídica que decide sobre o tratamento de dados pessoais (art. 5º, VI) |
| Operador | Pessoa natural ou jurídica que realiza o tratamento em nome do controlador (art. 5º, VII) |
| DPO / Encarregado | Pessoa indicada pelo controlador como canal entre controlador, titulares e ANPD (art. 5º, VIII) |
| Tratamento | Toda operação realizada com dados pessoais: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração (art. 5º, X) |
| Consentimento | Manifestação livre, informada e inequívoca pelo qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada (art. 5º, XII) |
| ANPD | Autoridade Nacional de Proteção de Dados |
| Base legal | Hipótese prevista na LGPD que legitima o tratamento de dados pessoais |
| RIPD | Relatório de Impacto à Proteção de Dados Pessoais (art. 5º, XVII) |
| RAT | Registro de Atividades de Tratamento |
| Incidente | Acesso não autorizado ou situação acidental ou ilícita de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito de dados pessoais |
5. Princípios
O tratamento de dados pessoais pela METRA observa integralmente os princípios do art. 6º da LGPD:
| Princípio | Aplicação na METRA |
|---|---|
| Finalidade | Dados coletados exclusivamente para propósitos legítimos, específicos e informados ao titular, sem tratamento posterior incompatível |
| Adequação | Tratamento compatível com as finalidades informadas ao titular |
| Necessidade | Limitação ao mínimo necessário para a realização das finalidades (minimização de dados) |
| Livre acesso | Garantia de consulta facilitada ao titular sobre a forma e duração do tratamento, bem como sobre a integralidade de seus dados |
| Qualidade | Dados exatos, claros, relevantes e atualizados conforme a necessidade e para o cumprimento da finalidade |
| Transparência | Informações claras, precisas e facilmente acessíveis ao titular sobre o tratamento e os respectivos agentes |
| Segurança | Medidas técnicas e administrativas para proteção dos dados contra acessos não autorizados, destruição, perda ou alteração |
| Prevenção | Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento |
| Não discriminação | Vedação ao tratamento para fins discriminatórios ilícitos ou abusivos |
| Responsabilização e prestação de contas | Demonstração, pelo agente de tratamento, da adoção de medidas eficazes e capazes de comprovar o cumprimento das normas |
6. Papel da METRA como Agente de Tratamento
A METRA atua em diferentes papéis conforme a atividade realizada, o que determina o grau de responsabilidade e as obrigações aplicáveis:
| Atividade | Papel da METRA | Observação |
|---|---|---|
| Prestação de serviços de saúde ocupacional (exames, PCMSO, PGR) para empresas clientes | Operador | Empresa cliente é o Controlador. METRA trata dados conforme instruções contratuais e obrigações legais aplicáveis |
| Gestão de RH dos próprios colaboradores | Controlador | METRA decide finalidade e meios do tratamento |
| Gestão de candidatos a vagas internas | Controlador | METRA decide finalidade e meios do tratamento |
| Gestão de contratos, faturamento e fornecedores | Controlador | METRA decide finalidade e meios do tratamento |
| Gestão de segurança da informação e logs internos | Controlador | METRA decide finalidade e meios do tratamento |
| Armazenamento de dados no Microsoft 365 | Controlador (Microsoft é Operador) | Regido pelo DPA da Microsoft |
Quando atua como Operador, a METRA está sujeita às instruções do Controlador (empresa cliente) e às obrigações do art. 39 da LGPD, devendo tratar os dados pessoais apenas de acordo com as instruções fornecidas, salvo obrigação legal em contrário.
7. Bases Legais
7.1 Dados Pessoais (art. 7º da LGPD)
| Hipótese | Base Legal | Atividade |
|---|---|---|
| Consentimento | Art. 7º, I | Comunicações de marketing; candidatos a vagas (quando aplicável) |
| Cumprimento de obrigação legal | Art. 7º, II | Exames ocupacionais, PCMSO, PGR, eSocial, obrigações trabalhistas e previdenciárias |
| Execução de contrato | Art. 7º, V | Serviços contratados por clientes, contratos de trabalho dos colaboradores |
| Legítimo interesse | Art. 7º, IX | Candidatos a vagas, comunicação institucional, segurança da informação |
7.2 Dados Sensíveis de Saúde (art. 11 da LGPD)
| Hipótese | Base Legal | Atividade |
|---|---|---|
| Cumprimento de obrigação legal | Art. 11, II, a | Exames médicos ocupacionais, ASO, PCMSO, LTCAT — fundamentados na CLT art. 168, NR-7, NR-1 e legislação previdenciária |
| Exercício regular de direitos | Art. 11, II, f | Defesa em processos judiciais ou administrativos envolvendo dados de saúde ocupacional |
| Proteção da saúde | Art. 11, II, h | Procedimentos médicos realizados por profissionais de saúde habilitados da METRA |
8. Categorias de Dados e Titulares
8.1 Trabalhadores das Empresas Clientes
| Categoria | Dados Tratados |
|---|---|
| Identificação | Nome completo, CPF, RG, data de nascimento, foto, biometria |
| Contato | Endereço, telefone, e-mail |
| Profissional | Cargo, setor, empresa empregadora, data de admissão |
| Saúde (sensíveis) | ASO (conclusão), CID, exames laboratoriais, audiometria, espirometria, exame toxicológico, laudos médicos, PCMSO, dados de exposição a agentes de risco |
Nota: O conteúdo clínico detalhado permanece sob sigilo médico, conforme Resolução CFM nº 1.851/2008. A empresa cliente recebe apenas a conclusão do ASO (apto/inapto).
8.2 Colaboradores da METRA
| Categoria | Dados Tratados |
|---|---|
| Identificação | Nome completo, CPF, RG, CNH, foto |
| Contato | Endereço, telefone, e-mail |
| Financeiro | Dados bancários, salário, benefícios |
| Profissional | Cargo, setor, histórico de função |
| Saúde (sensíveis) | Exames periódicos, ASO, atestados médicos |
8.3 Clientes Pessoa Física e Representantes de Empresas
| Categoria | Dados Tratados |
|---|---|
| Identificação | Nome, CPF ou CNPJ |
| Contato | Endereço, telefone, e-mail |
| Contratual | Cargo, empresa, dados de faturamento |
8.4 Candidatos a Vagas
| Categoria | Dados Tratados |
|---|---|
| Identificação | Nome, CPF |
| Contato | E-mail, telefone |
| Profissional | Currículo, formação acadêmica, experiências profissionais |
8.5 Fornecedores e Prestadores de Serviço
| Categoria | Dados Tratados |
|---|---|
| Identificação | Nome, CPF ou CNPJ |
| Contato | E-mail, telefone |
| Financeiro | Dados bancários, notas fiscais |
9. Responsabilidades
9.1 Diretoria
- Aprovar esta Política e suas revisões periódicas;
- Garantir recursos humanos e financeiros para conformidade com a LGPD;
- Designar formalmente o DPO e conferir-lhe autonomia para exercer suas funções.
9.2 DPO (Encarregado de Dados)
- Orientar colaboradores e a Diretoria sobre boas práticas de proteção de dados;
- Receber, analisar e encaminhar solicitações, reclamações e comunicações dos titulares;
- Comunicar-se com a ANPD quando necessário;
- Supervisionar o cumprimento desta Política e da LGPD;
- Elaborar e manter atualizados o RAT (RAT-001) e o RIPD (RIPD-001);
- Analisar contratos com fornecedores que tratem dados pessoais em nome da METRA;
- Conduzir ou coordenar treinamentos de conscientização sobre privacidade.
9.3 Coordenador de Tech (Gestor Operacional de SI)
- Implementar e manter controles técnicos de proteção de dados (acesso, criptografia, backup, logs);
- Garantir a segurança dos sistemas que armazenam ou processam dados pessoais;
- Notificar imediatamente o DPO em caso de incidentes de segurança que possam envolver dados pessoais;
- Gerir acessos conforme o princípio do menor privilégio;
- Manter inventário atualizado de ativos que processam dados pessoais;
- Revogar acessos de colaboradores desligados em até 3 horas após comunicação do RH.
9.4 Gestores de Área
- Garantir que sua equipe conheça e aplique esta Política;
- Solicitar formalmente ao TI apenas os acessos estritamente necessários para a função de cada colaborador;
- Comunicar ao RH e ao TI imediatamente o desligamento de colaboradores;
- Reportar ao DPO qualquer situação de risco ou suspeita de incidente envolvendo dados pessoais.
9.5 Colaboradores em Geral
- Conhecer e cumprir esta Política, o Código de Ética e os procedimentos associados;
- Tratar dados pessoais exclusivamente no contexto de suas atribuições funcionais;
- Não compartilhar credenciais de acesso;
- Reportar imediatamente ao gestor ou ao DPO qualquer suspeita de vazamento, acesso indevido ou uso inadequado de dados pessoais.
10. Compartilhamento de Dados
A METRA poderá compartilhar dados pessoais somente com destinatários autorizados e para finalidades legítimas:
| Destinatário | Dados Compartilhados | Finalidade | Base Legal |
|---|---|---|---|
| Empresas clientes | Conclusão do ASO (apto/inapto) | Cumprimento de obrigação legal – NR-7 | Art. 11, II, a |
| Laboratórios parceiros | Nome, CPF, pedido de exame | Realização de exames diagnósticos | Art. 11, II, a |
| Clínicas parceiras | Nome, CPF, encaminhamentos | Realização de procedimentos especializados | Art. 11, II, h |
| INSS / eSocial / eSocial Saúde | Dados de afastamento, CID | Obrigação legal previdenciária | Art. 7º, II |
| Auditores de clientes | Dados mínimos necessários | Cumprimento contratual (auditoria de SST) | Art. 7º, V |
| Microsoft (M365) | Dados de colaboradores (e-mail, arquivos) | Prestação de serviços de nuvem | Art. 7º, V |
| SOC (sistema) | Dados de saúde ocupacional | Gestão do prontuário ocupacional eletrônico | Art. 11, II, a |
| OMIE | Dados de clientes e fornecedores | ERP – gestão financeira e contratos | Art. 7º, V |
| Contabilidade terceirizada | Dados financeiros e de RH | Obrigações contábeis e fiscais | Art. 7º, II |
Vedações: É expressamente proibido compartilhar dados pessoais com terceiros não relacionados às finalidades acima, vender dados de titulares ou utilizá-los para fins de marketing sem consentimento explícito.
11. Transferência Internacional de Dados
A METRA realiza transferências internacionais nos seguintes casos:
| Serviço | País de Destino | Salvaguarda Adotada |
|---|---|---|
| Microsoft 365 (Exchange Online, Teams, OneDrive, SharePoint) | Infraestrutura global (incluindo Brasil e outros países, quando necessário) | Data Processing Agreement (DPA) Microsoft com Cláusulas Contratuais Padrão |
| SOC | Infraestrutura global (incluindo Brasil e outros países, quando necessário) | Contrato com cláusulas de proteção de dados |
Todas as transferências internacionais observam as salvaguardas previstas no Capítulo V da LGPD (art. 33).
12. Retenção e Descarte de Dados
A METRA observa os seguintes prazos de retenção, baseados em obrigações legais e necessidades operacionais:
| Tipo de Dado | Prazo Legal Mínimo | Base | Prazo Adotado pela METRA |
|---|---|---|---|
| Prontuários e exames médicos ocupacionais | 20 anos | NR-7, item 7.4.8 | 30 anos |
| LTCAT (Laudo Técnico) | 20 anos | Legislação previdenciária | 30 anos |
| Documentos do PCMSO e PGR | 20 anos | NR-7 / NR-1 | 30 anos |
| Registros de empregados (eSocial, folha de pagamento) | 5 anos | CLT | 5 anos |
| Contratos civis com clientes e fornecedores | 5 anos | Código Civil – prescrição | 5 anos |
| Documentos fiscais e contábeis | 5 anos | Código Tributário Nacional | 5 anos |
| Logs de sistemas de TI (firewall, AD, VPN, M365) | 6 meses | Marco Civil da Internet | 2 anos |
| Currículos de candidatos não selecionados | — | — | 6 meses após encerramento do processo |
| Dados de consentimento (marketing) | — | LGPD art. 15, I | Até revogação do consentimento |
Descarte: Documentos físicos contendo dados pessoais serão descartados por meio de fragmentação (trituração). Dados digitais serão eliminados de forma definitiva por sobrescrita segura ou deleção irreversível nos sistemas.
Dados de saúde (prontuários) não serão eliminados dentro do prazo de retenção adotado, em conformidade com a legislação médica e trabalhista aplicável.
13. Segurança dos Dados
A METRA adota medidas técnicas e organizacionais para proteger dados pessoais contra acessos não autorizados, incidentes de segurança e tratamento inadequado:
Medidas Técnicas
| Controle | Descrição |
|---|---|
| Controle de acesso | Active Directory com contas individuais; sem compartilhamento de senhas |
| MFA | Autenticação multifator habilitada no Microsoft 365 |
| Criptografia | Criptografia de disco em notebooks corporativos |
| VPN | Acesso remoto por VPN corporativa |
| Firewall | Firewall com regras de filtragem de tráfego |
| Antivírus | Kaspersky corporativo + Microsoft Defender |
| Controle de mídias | Pendrives bloqueados; HDs externos restritos à equipe de TI |
| Backup | Diário, em três mídias (local, nuvem, HD externo); testes periódicos de restauração |
| Logs | Retenção por 2 anos (firewall, AD, VPN, M365, Windows Server) |
| Rede | Rede de visitantes fisicamente separada da rede corporativa |
Medidas Organizacionais
| Controle | Referência |
|---|---|
| Política de Segurança da Informação | PSI-001 |
| Política de Controle de Acesso | PSI-002 |
| Política de Senhas | Vigente |
| Treinamento de colaboradores | Periódico |
| Auditoria interna | Periódica |
| Revisão de acessos | Periódica |
| DPO formalmente designado | — |
14. Direitos dos Titulares
Os titulares de dados pessoais tratados pela METRA têm os seguintes direitos, conforme art. 18 da LGPD:
| Direito | Descrição |
|---|---|
| Confirmação e Acesso | Confirmar a existência de tratamento e acessar seus dados pessoais |
| Correção | Solicitar a correção de dados incompletos, inexatos ou desatualizados |
| Anonimização/Bloqueio/Eliminação | Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD |
| Portabilidade | Solicitar a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa |
| Eliminação (base: consentimento) | Solicitar a eliminação dos dados pessoais tratados com o consentimento do titular |
| Informação sobre compartilhamento | Ser informado das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados |
| Informação sobre não consentir | Ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa |
| Revogação do consentimento | Revogar o consentimento a qualquer momento, mediante manifestação expressa |
| Oposição | Opor-se ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da LGPD |
| Revisão de decisão automatizada | Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais |
| Petição à ANPD | Peticionar em relação aos seus dados contra o controlador perante a ANPD |
O exercício desses direitos é detalhado no PRO-LGPD-001 – Procedimento de Atendimento aos Direitos dos Titulares.
Prazo de resposta: até 15 (quinze) dias corridos a contar da data do requerimento, conforme art. 19 da LGPD.
Canal de contato com o DPO: lgpd@metrabr.com
15. Incidentes com Dados Pessoais
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a METRA adotará as seguintes medidas:
- Contenção imediata do incidente (responsável: Coordenador de Tech + DPO);
- Avaliação do tipo de dados afetados, número de titulares envolvidos e potencial de dano;
- Notificação à ANPD em prazo razoável (referência: 72 horas a partir do conhecimento do incidente, conforme orientações da ANPD e boas práticas internacionais);
- Comunicação aos titulares afetados, quando o incidente puder lhes causar risco ou dano relevante;
- Registro completo do incidente, incluindo: data, natureza, dados afetados, medidas adotadas e lições aprendidas;
- Implementação de melhorias para prevenir recorrência.
O procedimento detalhado está descrito no Plano de Resposta a Incidentes (PSI-014).
16. Penalidades pelo Descumprimento
O descumprimento desta Política por colaboradores poderá acarretar medidas disciplinares, incluindo advertência, suspensão ou demissão por justa causa, sem prejuízo de responsabilidade civil e criminal prevista em lei.
Fornecedores e parceiros em descumprimento das obrigações contratuais de proteção de dados estarão sujeitos às sanções previstas nos respectivos contratos.
17. Revisão e Atualização
Esta Política será revisada anualmente ou sempre que ocorrer:
- Mudança relevante nos processos ou sistemas de tratamento de dados;
- Alteração na legislação ou regulamentação aplicável;
- Resultado de auditoria interna ou externa que indique necessidade de atualização;
- Incidente de segurança relevante que demande revisão dos controles.
18. Disposições Finais
Casos omissos serão resolvidos pelo DPO em conjunto com a Diretoria.
Esta Política entra em vigor na data de sua aprovação e revoga disposições anteriores em sentido contrário.