Exame ocupacional: o que o RH pode ver do ASO (LGPD)

Resumo executivo

• O RH não vê, e não pode ver, o dado clínico individual do exame ocupacional. Recebe a conclusão de aptidão — apto ou inapto — e nada além disso. Não é política interna cautelosa: é o art. 6º, V, da Resolução CFM nº 2.323/2022, o § 5º do art. 168 da CLT e o art. 11 da LGPD dizendo a mesma coisa por três caminhos.
• O que o RH pode ver, e quase nunca pede, é o agregado. O item 7.6.2 da NR-7 obriga o médico responsável pelo PCMSO a elaborar um relatório analítico anual com a estatística de resultados anormais e a incidência de doenças relacionadas ao trabalho, categorizadas por unidade operacional, setor ou função.
• Esse relatório é o único documento entre os que passam pelo RH que descreve a saúde da população da empresa sem identificar ninguém. Ele é obrigatório, é anual, e a maior parte das empresas nunca o leu.
• É também a peça que falta para a conversa de custo. Sinistralidade é uma razão entre despesa e receita: diz que o contrato está caro, não diz por quê. O relatório analítico diz onde, em que função, e com que frequência a população adoece.
• O caminho lícito não passa por dado individual em momento nenhum. Agregado do PCMSO de um lado, agregado da fatura do plano do outro, cruzamento por unidade e função. Nenhum nome, nenhum diagnóstico, nenhuma linha de pessoa.

Resposta direta: do exame ocupacional, o empregador recebe apenas a definição de apto ou inapto para a função, conforme a alínea "e" do subitem 7.5.19.1 da NR-7. O dado clínico individual fica no prontuário médico, sob responsabilidade do médico do PCMSO, e é comunicado ao trabalhador. O que o empregador tem direito de receber além disso é o relatório analítico anual do PCMSO (item 7.6.2), com estatísticas agregadas por unidade operacional, setor ou função. É esse documento, não o ASO, que serve à gestão de risco e à leitura de custo.

Quem vê o quê: as cinco camadas de acesso

A confusão do tema vem de tratar "dado do exame ocupacional" como se fosse uma coisa só. São camadas distintas, com titulares distintos e bases legais distintas.

A linha do empregador é a que costuma surpreender nos dois sentidos. Para menos, porque muita empresa acredita ter direito ao resultado do exame que ela mesma pagou — e não tem. Para mais, porque quase nenhuma sabe que o relatório analítico é obrigatório e que basta pedi-lo.

Por que o ASO não traz resultado: três normas, uma resposta

A norma ética. O art. 6º, V, da Resolução CFM nº 2.323/2022 veda ao médico que presta assistência ao trabalhador "informar resultados dos exames no ASO". Antes dela, o art. 76 do Código de Ética Médica já proibia revelar informações confidenciais obtidas no exame médico de trabalhadores, "inclusive por exigência dos dirigentes de empresas", salvo se o silêncio puser em risco a saúde dos empregados ou da comunidade.

A norma trabalhista. O § 5º do art. 168 da CLT determina que o resultado dos exames médicos, inclusive o complementar, "será comunicado ao trabalhador, observados os preceitos da ética médica". O destinatário do resultado é a pessoa examinada. O empregador não é mencionado.

A norma de proteção de dados. O art. 11 da LGPD só admite o tratamento de dado pessoal sensível em hipóteses fechadas. A que cobre saúde é a alínea "f" do inciso II — tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, na redação dada pela Lei nº 13.853/2019. Um departamento de RH não é profissional de saúde, serviço de saúde nem autoridade sanitária. O advérbio "exclusivamente" foi acrescentado justamente para fechar essa porta.

Três origens normativas diferentes, escritas em décadas diferentes, chegando ao mesmo desenho. Quando isso acontece, não é lacuna — é arquitetura.

O relatório analítico anual, item por item

O item 7.6.2 da NR-7 é curto e quase desconhecido: "o médico responsável pelo PCMSO deve elaborar relatório analítico do Programa, anualmente, considerando a data do último relatório, contendo, no mínimo" — e vêm seis alíneas.

a) Número de exames clínicos realizados. É o denominador. Sem ele, nenhum percentual do relatório significa alguma coisa.

b) Número e tipos de exames complementares realizados. Mostra onde o programa está gastando e se o gasto acompanha o mapa de risco do PGR.

c) Estatística de resultados anormais dos exames complementares, categorizados por tipo do exame e por unidade operacional, setor ou função. É a alínea mais valiosa do documento inteiro e a razão de este artigo existir. Alteração agregada, por setor, sem nome — exatamente o recorte que permite decidir onde intervir.

d) Incidência e prevalência de doenças relacionadas ao trabalho, categorizadas por unidade operacional, setor ou função. Incidência e prevalência são conceitos epidemiológicos, não de RH — e é isso que torna o documento comparável entre ciclos.

e) Informações sobre número, tipo de eventos e doenças informadas nas CAT emitidas. É a ponte com o custo previdenciário e com o FAP.

f) Análise comparativa em relação ao relatório anterior e discussão sobre as variações nos resultados. Obriga a série histórica. Um relatório isolado descreve; dois relatórios comparados sustentam decisão.

A própria norma explicita, no item 7.3.2, alínea "e", que uma das diretrizes do PCMSO é "subsidiar análises epidemiológicas e estatísticas sobre os agravos à saúde e sua relação com os riscos ocupacionais". O uso analítico não é um extra que a empresa inventou: é finalidade declarada do programa.

Duas ressalvas de escopo. O relatório analítico não é exigido de microempreendedores individuais nem de microempresas e empresas de pequeno porte dispensadas da elaboração do PCMSO (item 7.7.4). E, se o médico responsável não recebeu os prontuários do antecessor ou considera as informações insuficientes, ele deve registrar isso no próprio relatório (item 7.6.4) — o que, na prática, é o alerta de que a série histórica tem buraco.

Do relatório à fatura: o cruzamento que é lícito

Aqui está a lacuna que nenhum concorrente do tema ocupa. O relatório analítico do PCMSO e a fatura do plano de saúde descrevem a mesma população e nunca se encontram. Um mora no SESMT ou no fornecedor de medicina do trabalho; o outro, na área de benefícios ou na corretora.

O cruzamento útil é simples e não toca em dado individual em nenhum ponto:

Unidade e função como chave. As duas fontes conseguem ser recortadas por unidade operacional e por função. Não é preciso nome, matrícula nem CPF — a chave é o grupo.

Três perguntas que o cruzamento responde. Onde a frequência de alteração no exame periódico é mais alta e como está a despesa assistencial daquela mesma unidade. Se o setor com maior incidência de doença relacionada ao trabalho é também o de maior uso de pronto-socorro. Se o gasto com afastamento e o gasto com o plano estão concentrados no mesmo lugar ou em lugares diferentes — e as duas respostas exigem ações opostas.

O que fazer com a resposta. Um mapa por unidade e função vira desenho de programa. A tradução de mapa agregado em rotina operacional está descrita em estratificação de risco na população da empresa, e a leitura de custo correspondente, em sinistralidade em planos de saúde empresariais.

É também aqui que se corrige o erro mais caro da gestão de saúde corporativa. Programa de bem-estar corporativo falha, em boa parte dos casos, por não partir de risco medido: escolhe-se o tema pela adesão esperada e mede-se o resultado pela participação. O relatório analítico do item 7.6.2 inverte a ordem — ele diz onde a população efetivamente adoece, por unidade e por função, antes de qualquer decisão de programa. É o insumo que quase nenhuma empresa usa e que ela já tem por norma.

Vale explicitar o limite: nada disso autoriza entregar dado de saúde à operadora ou à corretora para "melhorar a precificação". O § 4º do art. 11 da LGPD veda a comunicação ou o uso compartilhado de dados sensíveis de saúde entre controladores com objetivo de obter vantagem econômica, ressalvadas as hipóteses ligadas à prestação de serviços de saúde. E o § 5º, incluído pela Lei nº 13.853/2019, é ainda mais direto: é vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos, tanto na contratação de qualquer modalidade quanto na contratação e exclusão de beneficiários.

Os cinco erros de LGPD mais comuns no tema

1. Pedir o resultado do exame "para conferir". É o pedido mais frequente e não tem base legal para o RH. Se a dúvida é sobre aptidão, a pergunta certa vai ao médico do trabalho e a resposta volta como aptidão, não como resultado.
2. Guardar o resultado junto com o ASO no drive do RH. Quando a clínica anexa o resultado por descuido, o arquivo passa a conter dado sensível sem base legal. Deve ser devolvido ou expurgado, não arquivado.
3. Usar o exame admissional como filtro de contratação. Vai contra a diretriz do item 7.3.2.2 da NR-7 — "o PCMSO não deve ter caráter de seleção de pessoal" — e não encontra hipótese no art. 11 da LGPD, porque seleção de pessoal não é procedimento de tutela da saúde.
4. Exigir CID para liberar benefício ou justificar ausência. É tema vizinho e a lógica é a mesma; o que o RH pode exigir de um atestado está detalhado em atestado médico: quem pode emitir e o que o RH pode aceitar.
5. Repassar planilha de saúde a terceiros sem base legal definida por escrito. Vale para operadora, corretora, consultoria e fornecedor de tecnologia. A decisão sobre quem opera a base identificada precisa vir antes da ferramenta, com o serviço de saúde responsável nomeado e o que retorna ao empregador definido — e, quando o destinatário é operadora, os §§ 4º e 5º do art. 11 impõem limite adicional.

Por que isso ainda não é o default

O relatório existe por norma, é anual e é gratuito para quem já paga o PCMSO. Ainda assim, quase ninguém o usa. Vale registrar que o diagnóstico não é nosso: ele foi feito em público, no RH Summit 2026, num roundtable entre a Axenya e a SulAmérica.

A Dra. Agatta Pasiani, diretora médica da Axenya, descreveu a cisão que quase toda empresa opera — de um lado a leitura de plano, "usabilidade do plano, sinistralidade"; de outro "a parte de saúde ocupacional. Então, é atestado, auditoria de senhas, absenteísmo" — e fechou com a pergunta que dá nome a esta seção: "ao mesmo tempo que a gente pega atestado, saúde ocupacional, por que [...] isso ainda não é algo do default?". A avaliação dela sobre o movimento do mercado foi que "estão começando a olhar para isso agora, mas de uma forma mais embrionária do que eu acho que deveríamos".

O Dr. Gustavo Guimarães, diretor médico de relacionamento com clientes da SulAmérica, respondeu do lado da operadora, e a resposta é mais dura: "eu tô ouvindo esses 'tão começando a olhar' há muitos anos já. Então ainda tá lento." Ele não vê justificativa técnica para a separação em uma companhia obrigada a oferecer saúde ocupacional. Nas palavras dele, há ali "um valor enorme para a gestão desse complexo todo da saúde, tanto do ponto de vista do colaborador como do ponto de vista do custo". A íntegra está no registro em vídeo do roundtable.

Três causas explicam a inércia, e nenhuma delas é jurídica:

1. As duas frentes têm donos diferentes. Saúde ocupacional responde a segurança do trabalho ou ao SESMT; plano de saúde responde a benefícios. São orçamentos distintos, fornecedores distintos e, com frequência, diretorias distintas. Ninguém é dono da pergunta que cruza os dois.

2. O medo da LGPD é usado como razão para não olhar nada. Como as cinco camadas acima mostram, o que a lei fecha é o dado individual. O agregado do item 7.6.2 não só é permitido: é obrigatório e foi desenhado exatamente para leitura epidemiológica. Tratar sigilo como impedimento de gestão confunde a camada errada.

3. O fornecedor entrega o que foi contratado. Contrato de medicina do trabalho comprado por preço unitário de exame entrega exame, não análise. O relatório analítico vem como PDF de conformidade, sem as alíneas "c" e "d" preenchidas com recorte por setor — e ninguém reclama, porque ninguém ia ler.

A consequência prática é a que a discussão apontou: a empresa já produz, por obrigação legal, a leitura de risco da própria população, e a joga fora todo ano. Fazer disso o default não exige nova norma, novo consentimento nem nova ferramenta. Exige pedir o documento e definir quem o lê.

Como a Axenya trata isso

A Axenya opera saúde corporativa como plataforma, com dado assistencial integrado e responsabilidade clínica sobre a base identificada. Na prática, o desenho é o que a norma pede: a leitura clínica roda sob profissional de saúde, o empregador recebe o agregado por unidade, função e faixa de risco, e a decisão de programa e de orçamento é tomada sobre esse agregado. É o mesmo desenho que o item 7.6.2 da NR-7 já exigia — a diferença é que ele passa a ser usado.

O que fazer nos próximos 90 dias

Primeiro, peça o relatório analítico dos dois últimos ciclos. Ele é obrigatório e provavelmente existe. Se o fornecedor de medicina do trabalho não entregar, ou entregar sem as alíneas "c" e "d", isso já é o diagnóstico: o programa está sendo operado como conformidade documental, não como controle médico de saúde.

Segundo, defina por escrito quem opera a base identificada. Nomeie o serviço de saúde responsável, o profissional que responde por ele e exatamente o que o empregador vai receber de volta. Essa decisão determina se o projeto é viável e vem antes de qualquer contratação de ferramenta.

Terceiro, faça o primeiro cruzamento com duas colunas apenas. Unidade operacional de um lado; despesa assistencial por unidade do outro. Sem função, sem faixa etária, sem refinamento. Se as duas listas ordenadas apontarem para lugares diferentes, você acabou de encontrar a pergunta que vale o ciclo inteiro.

Para a base documental desse ciclo, o ponto de partida é o que é o ASO e os cinco tipos. Os prazos estão em validade do ASO, a conferência do documento em os sete campos obrigatórios e as obrigações do ciclo de admissão e demissão em exame admissional e demissional. A visão de como as duas frentes se integram está em saúde ocupacional vs saúde corporativa.