People analytics de saúde: o que o RH pode ver sem ferir a LGPD
Resumo executivo
- Dá para fazer. Cruzar dado de RH com dado de saúde é legítimo no nível agregado, com finalidade declarada, base legal escolhida e piso mínimo de coorte. O que decide a legalidade do cruzamento é o desenho, e o desenho está nas suas mãos.
- O RH não recebe lista nominal. Dado de saúde é dado pessoal sensível, e a hipótese de "tutela da saúde" da LGPD é expressamente restrita a procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Gestão de benefício fica fora dessa hipótese.
- Agregar e anonimizar são coisas diferentes. O artigo 12 da LGPD diz que dado anonimizado deixa de ser dado pessoal salvo quando a anonimização pode ser revertida com esforços razoáveis. Grupo pequeno reidentifica sozinho, e aí o "indicador agregado" volta a ser dado sensível.
- O gargalo está no dado. Na pesquisa 2026 AI Use in Health and Benefits, da WTW, com 312 empregadores, a análise de dados aparece como a segunda prioridade de investimento em IA (59%), mas só 20% operacionalizam IA em benefícios de fato, conforme reportado pela WorldatWork em maio de 2026.
- Escopo desta peça: people analytics de saúde. O assunto é indicador de saúde e custo assistencial cruzado com atributo de RH, a única leitura em que a discussão de LGPD é inevitável. Desempenho, turnover e engajamento ficam fora.
Por que o RH trava nessa conversa
A trava tem uma causa técnica e uma causa jurídica, e elas se confundem na prática.
A causa jurídica: dado referente à saúde é dado pessoal sensível pela definição do artigo 5º, inciso II da Lei nº 13.709/2018. O regime do dado sensível é fechado: o artigo 11 lista as hipóteses em que ele pode ser tratado, e valem só aquelas. A hipótese invocada de forma apressada é a da alínea "f" do inciso II, e a redação vigente, dada pela Lei nº 13.853/2019, é restritiva: "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária". A palavra "exclusivamente" foi acrescentada justamente para impedir a leitura larga. Uma análise de dados conduzida pelo RH fica fora dessa descrição.
Ou seja: a base legal que sustenta a operação do plano não cobre automaticamente a análise que o RH quer fazer. Essa análise precisa de finalidade própria, declarada, e de uma decisão consciente sobre em que nível o dado chega a quem.
A causa técnica é mais banal e mais frequente: as duas bases não se conversam. A operadora identifica a vida por um código próprio; a folha, por matrícula; o programa de saúde, por e-mail corporativo. A mesma pessoa aparece três vezes, com grafias diferentes, e às vezes desaparece por um mês porque a elegibilidade foi processada com atraso. Antes de qualquer discussão sobre privacidade, muitas empresas simplesmente não conseguem juntar as bases. A discussão de LGPD acaba servindo como explicação socialmente aceitável para um problema de engenharia.
Vale separar esta peça de duas vizinhas nossas, porque as perguntas são diferentes: o que o RH não pode saber descreve o limite; como proteger dado sensível descreve o controle. Aqui a pergunta é a terceira: como decidir com o que ele pode.
O que o RH pode e não pode ver: os quatro níveis
| Nível | Quem pode acessar | Base legal típica | Para qual finalidade | O que não se faz |
|---|---|---|---|---|
| 1. Individual identificado: nome ligado a condição, exame, medicamento ou diagnóstico | Somente profissional de saúde, serviço de saúde ou autoridade sanitária | Art. 11, II, "f": tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária | Cuidado da pessoa: conduta clínica, encaminhamento, acompanhamento | Não chega ao RH, nem ao gestor direto, nem em anexo de relatório, nem "só para conferir" |
| 2. Individual pseudonimizado: código no lugar do nome, com chave guardada em separado | Time de dados sob contrato e sob controle de acesso, sem acesso à chave de reidentificação | Continua sendo dado pessoal (art. 12: se a reversão é possível com esforços razoáveis, o dado é pessoal). Exige medida técnica e organizacional além do hash | Treinar e validar modelo, medir coorte, apurar indicador | Não vira relatório de gestor. Pseudonimizado é dado pessoal com a etiqueta trocada, e o regime jurídico continua o mesmo |
| 3. Agregado por grupo: indicador por área, unidade, faixa etária ou linha de cuidado | RH, com registro de quem acessou | Finalidade declarada de gestão do benefício; dado agregado sem reversão razoável deixa de ser dado pessoal (art. 12) | Desenhar programa, dimensionar rede, sustentar negociação de contrato | Não publicar corte cuja célula fica pequena. Grupo pequeno reidentifica sozinho |
| 4. Agregado com piso mínimo de coorte: nível 3 mais supressão de célula abaixo do piso | RH e liderança, inclusive em apresentação a diretoria | Mesma finalidade do nível 3, com a supressão como medida técnica que sustenta a irreversibilidade | Decidir orçamento, priorizar programa, comparar unidades ao longo do tempo | Não cruzar dois ou três cortes até o grupo virar uma pessoa. É a forma mais comum de vazar sem querer |
O ponto central da tabela: quase tudo que o RH precisa decidir se resolve nos níveis 3 e 4. Orçamento de programa, priorização de linha de cuidado, escolha de rede, argumento de renovação: nada disso exige saber quem. O pedido de nível 1 quase sempre nasce de uma pergunta mal formulada, "quem está em risco?", quando a pergunta útil era "quanto risco existe, onde, e o que muda se eu agir". E o nível 1 permanece com quem cuida da pessoa, mesmo quando alguém pede.
O piso de coorte: por que grupo pequeno reidentifica
Reidentificação não exige hacker. Exige contexto. Se o relatório diz que a unidade de Curitiba tem três pessoas em acompanhamento oncológico e a unidade tem onze funcionários, quem trabalha lá reduz a lista sozinho. Se o corte é "mulheres, 50+, área jurídica" e a área jurídica tem duas mulheres acima de 50, o indicador tem nome.
O artigo 12 da LGPD é explícito sobre isso: dado anonimizado deixa de ser dado pessoal salvo quando a anonimização pode ser revertida usando meios próprios ou, "com esforços razoáveis", por qualquer via, e o §1º manda considerar custo e tempo de reversão diante das tecnologias disponíveis. Traduzido para a operação: o teste de anonimização mede o esforço que alguém precisaria fazer para desfazê-la. O método aplicado pesa menos do que esse esforço. E dentro de uma empresa o esforço é baixíssimo, porque o contexto é conhecido.
Como escolher o piso, na prática:
- Defina o piso antes de olhar o resultado. Piso escolhido depois do número é piso escolhido para caber na narrativa.
- Aplique o piso à célula. Uma base de 4.000 vidas com um corte que gera célula de 2 pessoas vale como célula de 2 pessoas. O tamanho da base é irrelevante nesse ponto.
- Suprima em vez de arredondar. Célula abaixo do piso sai como "suprimido". Zero é informação, e às vezes é a informação mais reveladora de todas.
- Conte o cruzamento como corte. Cada dimensão adicional multiplica a chance de célula pequena. Duas dimensões já pedem atenção; três, quase sempre, pedem supressão.
- Trave a granularidade máxima no sistema. Regra que depende de alguém lembrar é convenção; regra no caminho da consulta é controle.
Um exemplo concreto de agregação que gera decisão sem identificar ninguém: em levantamento nosso com 1.076 beneficiários de 38 empresas, aplicando o instrumento clínico PHQ-9, 12,2% apresentaram depressão moderada ou acima, e 51,6% dos colaboradores com ansiedade diagnosticada não estavam em tratamento. Os dois números sustentam decisão de programa, de rede e de orçamento. Nenhum deles diz quem.
A camada de engenharia que ninguém mostra
É aqui que people analytics de saúde deixa de ser tema jurídico e passa a ser tema de arquitetura. Cinco peças, na ordem em que costumam falhar, e a decisão que cada uma cobra de você:
1. Chave única de identidade
Antes de qualquer indicador, é preciso decidir o que identifica uma vida no seu ambiente e resolver o conflito entre as fontes. Sem isso, a mesma pessoa entra duas vezes com dois códigos e o denominador do seu indicador fica errado em silêncio, porque nada quebra.
2. Deduplicação de vida
Titular que também aparece como dependente em outro contrato, colaborador recontratado, homônimo em unidades diferentes. Deduplicar é decisão de negócio: alguém precisa definir a regra de precedência e assumir o erro residual.
3. Reconciliação com a folha
A elegibilidade da operadora e o cadastro de RH divergem quase sempre: admissão processada com atraso, desligamento que segue coberto por 30 dias, dependente incluído fora do mês. Sem reconciliação mês a mês, você compara um numerador de agosto com um denominador de junho. É a origem mais comum de indicador que "não fecha".
4. Régua de tempo única
Data de atendimento, data de processamento, data de pagamento e competência contábil são quatro datas diferentes para o mesmo evento. Fixar qual delas manda, e aplicá-la em todas as fontes, é o que permite comparar dois meses. A nossa nota sobre integração de dados com operadoras detalha por que essa etapa costuma ser subestimada.
5. Governança de dado sensível como camada do sistema
Quem é controlador e quem é operador, quem tem acesso a qual nível, o que é registrado quando alguém consulta, e o que acontece com o dado no desligamento. Isso precisa existir como configuração do sistema: perfil, máscara e log. O contrato declara a intenção; o sistema é o que efetivamente barra o acesso.
Feita essa camada, os indicadores que interessam ao RH e ao CFO passam a ser calculáveis com confiança. Vale conferir a lista em 9 indicadores de saúde corporativa que o RH deve apresentar ao CFO e o desenho geral de uma gestão de benefícios orientada a dado.
O que muda com o PL 2338 e o que já vale hoje
Muita gente adia o desenho esperando o marco legal de IA. Parte do que ele traria já está valendo na LGPD.
O artigo 20 da LGPD já garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive as destinadas a definir perfil pessoal ou profissional. E o §1º obriga o controlador a fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e procedimentos usados na decisão automatizada, observados segredo comercial e industrial. Se o seu programa de saúde prioriza pessoas por uma pontuação de risco, essa obrigação já se aplica, mesmo quando a pontuação circula apenas entre profissionais de saúde.
O PL 2338/2023 tornaria isso mais específico: classificação de sistemas por grau de risco, direito à explicação e à contestação de decisão automatizada e sanções que podem chegar a R$ 50 milhões. Status verificado em 20 de agosto de 2026: aprovado no plenário do Senado em 10 de dezembro de 2024, o projeto seguia na Câmara dos Deputados na situação "Aguardando Parecer", em regime de prioridade e sujeito à apreciação do Plenário, com movimentação mais recente registrada em 17 de junho de 2026, sem votação final. É projeto, não lei; qualquer afirmação sobre obrigações dele só cabe no condicional.
A consequência de desenho, se ele passar, é a que interessa: explicabilidade deixa de ser política de privacidade e passa a ser requisito de sistema. Guardar qual versão do modelo rodou, quais variáveis entraram, qual foi o resultado e quem revisou é registro que se faz na hora ou se perde. Vale começar agora, mesmo sem lei nova.
Uma nota de honestidade: este artigo descreve desenho de sistema e de processo. Nada aqui é orientação jurídica, atestado de conformidade de fornecedor ou substituto da análise do seu DPO e do seu jurídico sobre o caso concreto.
Cinco perguntas antes de cruzar as bases
| Pergunta | Por que ela decide o desenho | Resposta insuficiente |
|---|---|---|
| 1. Qual é a finalidade declarada? | Finalidade define o nível de agregação aceitável e o tempo de retenção | "Entender melhor a nossa população" |
| 2. Qual é a base legal, e ela cobre esta finalidade? | A base que sustenta a operação do plano não cobre automaticamente a análise de dados que o RH quer fazer | "Está no contrato do plano" |
| 3. Qual é o piso de coorte que impede reidentificação? | É o que transforma agregação em anonimização com esforço de reversão alto (art. 12 e §1º) | "A base é grande" |
| 4. Quem é controlador e quem é operador? | Define responsabilidade, contrato, log de acesso e a quem o titular reclama | "O fornecedor cuida disso" |
| 5. O que acontece no desligamento do colaborador? | Define retenção, exclusão e o que permanece na série histórica agregada | Silêncio: é a pergunta mais esquecida das cinco |
Se as cinco respostas não existirem por escrito, o cruzamento não deveria começar. E se existirem, a conversa com o jurídico deixa de ser um pedido de autorização e passa a ser uma revisão de desenho, que é uma conversa muito mais curta.
O que este desenho não entrega, e por que isso é bom
Vale dizer com clareza o que people analytics de saúde não entrega, porque o rótulo promete mais do que o desenho correto permite.
Ficam fora, de propósito: previsão de desligamento, nota de desempenho e termômetro de engajamento cruzado com condição clínica. As três aparecem em ferramenta de RH generalista e são justamente as que devem ficar longe do dado de saúde. Usar indicador clínico para inferir risco de saída ou produtividade transforma dado sensível em insumo de decisão sobre a carreira da pessoa, o cenário que a LGPD existe para impedir, e destrói a confiança do colaborador no programa em uma única reunião.
Também não é vigilância. Se o colaborador tem motivo para achar que participar de um programa de saúde deixa rastro que o gestor lê, ele para de participar, e o dado que sobra fica enviesado justamente contra quem mais precisaria de cuidado. O piso de coorte, nesse sentido, é proteção jurídica e também a condição para que o indicador continue verdadeiro no ano seguinte.
E o julgamento clínico continua sendo de quem cuida. O agregado diz onde há concentração de risco e quanto custa; quem decide conduta é profissional de saúde, com a pessoa, no nível 1 da tabela, e esse nível nunca sai de lá. Essa fronteira, dita em voz alta na comunicação interna do programa, é o que faz a adesão subir. Contraintuitivo, mas é o que se observa: quanto mais explícito o limite, maior a participação.
Um último dado de contexto, que ajuda a calibrar a ambição do projeto: a adoção de IA na saúde brasileira ainda é operacional. Segundo a pesquisa TIC Saúde 2025, do Cetic.br, 18% dos estabelecimentos de saúde já usavam IA em 2025 e, entre eles, 76% usam modelos generativos, com aplicação principal na organização de processos clínicos e administrativos. Ou seja: o mercado ao redor também está construindo a base. Começar pelo desenho é a ordem correta, e o modelo vem depois.
Na hora de escolher com quem fazer isso, os critérios de como avaliar uma plataforma de saúde corporativa valem inteiros, e o que exigir de um portal de RH cobre a parte de acesso e perfil. Comece pela visão geral da Axenya se quiser ver como as duas bases são operadas juntas.
Perguntas frequentes
Faça o diagnóstico de maturidade de dados de saúde da sua empresa
Em uma sessão, mapeamos as suas fontes de dado, o nível de agregação que a sua base sustenta e o que falta para o indicador fechar. Você sai da sessão com o desenho na mão.
Solicitar diagnóstico de dados