LGPD na saúde corporativa: o que o RH pode e não pode saber sobre seus colaboradores

Resumo executivo

• A Lei Geral de Proteção de Dados (LGPD) classifica dados de saúde como dados sensíveis, categoria que exige proteção reforçada e restrições específicas de acesso.
• O RH não pode saber quem é o colaborador doente, qual é o diagnóstico, quais procedimentos foram realizados ou qual é o risco individual de saúde. Esse acesso configura violação da LGPD e expõe a empresa a sanções da ANPD.
• A Axenya opera como ente independente entre a empresa e os dados individuais de saúde. O RH recebe dashboards 100% anonimizados. Os dados individuais ficam acessíveis apenas à equipe médica e de enfermagem.
• A arquitetura é Zero Trust: nenhum usuário tem acesso irrestrito. Cada perfil acessa apenas o que precisa para sua função, com log de auditoria de cada acesso.
• O NPS de 97 da Axenya reflete, em parte, a confiança dos colaboradores de que seus dados não chegam ao RH.

O que a LGPD diz sobre dados de saúde

O artigo 11 da LGPD é direto: dados de saúde são dados sensíveis e só podem ser tratados em situações específicas, com consentimento explícito do titular ou para proteção da vida. Isso significa que a empresa não pode simplesmente acessar os dados de saúde dos colaboradores porque paga o plano. Para entender o contexto maior, consulte absenteísmo e presenteísmo: guia completo.

Na prática, o RH frequentemente tem acesso a informações que não deveria ter. Relatórios de sinistro com CIDs detalhados, listas de colaboradores com afastamentos por condição específica, dados de utilização que permitem inferir diagnóstico. Cada um desses acessos é uma exposição legal.

O que o RH pode e não pode saber sobre saúde dos colaboradores?

O RH pode acessar dados agregados e anonimizados: taxa de sinistralidade da carteira, distribuição de custos por tipo de procedimento, perfil epidemiológico sem identificação individual. O RH não pode acessar: diagnósticos individuais, CIDs por colaborador, histórico de procedimentos identificado, risco individual de saúde ou qualquer dado que permita identificar quem está doente.

Por que o RH não pode saber quem está doente

A razão não é apenas legal. É também de confiança e de eficácia do programa.

Quando o colaborador sabe que o RH tem acesso aos seus dados de saúde, ele para de usar o plano para condições que considera estigmatizantes: saúde mental, doenças crônicas, condições que podem afetar sua carreira. O resultado é subnotificação clínica, que distorce os dados e reduz a eficácia de qualquer programa de gestão de saúde.

A confiança do colaborador é um ativo clínico. Sem ela, o programa não funciona, independentemente da qualidade do algoritmo ou da equipe médica.

A arquitetura de separação de dados

A Axenya opera com separação estrutural entre três camadas de acesso:

Camada 1: dados individuais (acesso restrito à equipe médica)

Diagnósticos, CIDs, histórico de procedimentos, resultados de triagem, KBS scoring individual e plano de cuidado. Apenas médicos e enfermeiras da equipe de navegação clínica têm acesso a esses dados, e apenas para os colaboradores sob seu acompanhamento.

Camada 2: dados anonimizados (acesso do RH e gestão)

Sinistralidade da carteira, distribuição de custos por tipo de procedimento, perfil epidemiológico agregado, indicadores de utilização e comparativos com benchmarks de mercado. Esses dados são 100% anonimizados: nenhum dado individual é identificável, mesmo com cruzamento de variáveis.

O RH vê que "15% da carteira tem hipertensão não controlada" mas não vê quem são esses 15%. Vê que "o custo com internações cardiovasculares subiu 23%" mas não vê quais colaboradores internaram.

Camada 3: dados operacionais (acesso da Axenya como ente independente)

A Axenya acessa dados individuais identificados apenas para fins de gestão clínica: priorização de contato, acompanhamento de evolução e coordenação de cuidado. Esse acesso é baseado em contrato de processamento de dados (DPA) com a empresa, conforme exigido pela LGPD.

Zero Trust: o princípio que governa o acesso

A arquitetura Zero Trust parte de um princípio simples: nenhum usuário tem acesso irrestrito. Cada perfil acessa apenas o que precisa para sua função, e cada acesso é registrado em log de auditoria.

Na prática, isso significa:

• A enfermeira que acompanha um colaborador vê os dados daquele colaborador, não de toda a carteira
• O médico coordenador vê dados agregados da carteira e dados individuais dos casos que coordena
• O gestor de RH vê apenas dashboards anonimizados, sem possibilidade de drill-down para o nível individual
• A Axenya, como processadora de dados, acessa apenas o necessário para a prestação do serviço

Cada acesso gera um registro auditável. Em caso de investigação da ANPD, a empresa consegue demonstrar exatamente quem acessou o quê e quando.

O DPO dedicado e a parceria com a Uniti

A Axenya mantém um DPO (Data Protection Officer) dedicado em parceria com a Uniti, especializada em proteção de dados. O DPO é responsável por garantir que todos os processos de tratamento de dados estejam em conformidade com a LGPD, responder a solicitações de titulares e interagir com a ANPD quando necessário.

Para a empresa contratante, isso significa que a responsabilidade de conformidade não recai integralmente sobre o RH ou o jurídico interno. A Axenya assume a responsabilidade pelo tratamento dos dados de saúde dentro do escopo do serviço.

Por que a enfermeira não sabe o motivo da priorização

Um detalhe operacional que reforça a privacidade: a enfermeira que faz o contato com o colaborador não sabe por que o algoritmo o priorizou. Ela sabe que aquele colaborador precisa de contato, mas não tem acesso ao raciocínio do modelo preditivo.

Isso é design intencional. Além de eliminar viés clínico, garante que a enfermeira não possa, mesmo inadvertidamente, revelar ao colaborador que o algoritmo identificou um risco específico. A privacidade é preservada em todas as camadas da operação.

Para entender como o algoritmo preditivo funciona, veja o artigo sobre saúde preditiva com IA.

Dados 100% no Brasil

Toda a infraestrutura opera em servidores Google Cloud São Paulo. Nenhum dado de saúde dos colaboradores é transferido para servidores fora do Brasil. Isso elimina os riscos de transferência internacional de dados sensíveis previstos no artigo 33 da LGPD e garante que a empresa não precisa de mecanismos adicionais de adequação para transferência internacional.

Para entender como os dados de sinistralidade são organizados em dashboards, veja o artigo sobre os 7 indicadores de sinistralidade que o RH precisa monitorar.

O que acontece se o RH tiver acesso indevido

As sanções da ANPD para violações da LGPD incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) e publicização da infração. Mas o risco mais imediato é a perda de confiança dos colaboradores.

Quando um colaborador descobre que o RH tem acesso aos seus dados de saúde, o impacto vai além do individual: a informação se espalha, a adesão ao programa cai e os dados de saúde da carteira passam a ser subnotificados. O programa de gestão de saúde perde eficácia exatamente quando mais precisaria funcionar.

A conformidade com a LGPD não é apenas obrigação legal. É condição para que o programa de saúde corporativa funcione.

Fontes e referências

• Lei Geral de Proteção de Dados (LGPD), Lei 13.709/2018: texto integral da lei, com artigos sobre dados sensíveis (art. 11) e transferência internacional (art. 33).
• Agência Nacional de Saúde Suplementar (ANS): regulamentação do setor de saúde suplementar e diretrizes para tratamento de dados de beneficiários.