Mapeyo
Voltar para o blog
LGPD

Seu assessment comportamental é dado sensível pela LGPD. E você guarda no drive compartilhado com o time inteiro.

A ANPD virou agência reguladora em fevereiro de 2026 e já abriu 19 processos sancionadores em um único mês. Na Europa, o GDPR passou de € 7,1 bilhões em multas — R$ 153,7 milhões só a ByteDance pagou no Brasil em agosto. E o RH continua tratando perfil comportamental como se fosse currículo em PDF. Spoiler: não é. É dado sensível. E você tem passivo. A diferença não é sorte. É método.

Adriano Abreu17 de setembro de 2026

O RH descobriu comportamento. E esqueceu que comportamento é dado sensível.

Em 25 de fevereiro de 2026 o governo sancionou a Lei 15.352/2026 e transformou a ANPD em agência reguladora — com autonomia funcional, técnica, decisória e financeira. Não é mais órgão orientador. É fiscal com dente. Só em junho a autoridade abriu 19 novos processos sancionadores. O teto por infração é de R$ 50 milhões ou 2% do faturamento da empresa, o que for menor. Em 25 de agosto, a ANPD cravou R$ 153,7 milhões contra a ByteDance — a maior multa da história da LGPD.

Na Europa, onde o filme já está mais adiantado, o GDPR passou de € 7,1 bilhões acumulados em multas desde 2018, sendo € 1,2 bilhão só em 2025 — mais do que os primeiros quatro anos somados. Mais de 2.800 sanções aplicadas. A curva não é gaussiana. É exponencial.

E o que o RH brasileiro médio faz com o resultado do assessment comportamental? Salva em PDF. Manda por WhatsApp pro gestor. Deixa no drive compartilhado que 47 pessoas acessam. Cola dentro da planilha do headcount. E dorme.

Assessment comportamental é dado sensível. Ponto.

O artigo 5º, II da LGPD é claro: dado sensível é aquele sobre origem racial, convicção religiosa, opinião política, saúde, vida sexual, biometria, filiação sindical e — leia com calma — dados referentes à personalidade. Perfil comportamental é isso. Não é opinião do consultor de RH. É a lei.

O que muda quando o dado é sensível?

  • Precisa de base legal específica (consentimento explícito ou uma das hipóteses do art. 11), não serve o "legítimo interesse" genérico da vaga.
  • Precisa de finalidade delimitada. Aplicou para seleção? Não pode virar insumo de demissão dois anos depois sem nova base.
  • Precisa de retenção pelo tempo estritamente necessário. Guardar perfil de candidato reprovado "pro banco" indefinidamente? Passivo.
  • Precisa de acesso restrito e log. Drive compartilhado com 47 pessoas não é acesso restrito. É farra.
  • Precisa de segurança compatível. PDF em pasta "RH_Assessments_2024" com senha "rh123" não é segurança compatível. É meme.

O que o mercado brasileiro faz — e por que vai custar caro

O Brasil tem hoje mais de 2 mil fornecedores vendendo alguma versão de assessment. A maioria entrega PDF por e-mail. O RH imprime, escaneia, guarda em drive, encaminha. O dado sensível viaja mais que executivo em pré-venda.

A ANPD já sinalizou os setores prioritários de fiscalização — saúde é o primeiro, mas RH está no radar porque concentra os três agravantes que a autoridade adora: volume grande de dados, titulares vulneráveis (o candidato que precisa da vaga não recusa consentimento) e finalidade elástica (assessment que "sobra" pra decisão de promoção, sucessão, corte).

E tem o efeito bumerangue. Cada perfil comportamental guardado sem base, sem prazo, sem controle é um titular a menos de dez centímetros do ícone "Reclamação" no site da ANPD. O denunciante médio da LGPD no Brasil é funcionário demitido. Não é hacker. É o Fulano que saiu chateado e leu o Instagram do advogado dele.

💡 A pergunta que vale a auditoria: em quantos lugares na sua empresa existe hoje um relatório de perfil comportamental de um colaborador ou candidato? Se a resposta é "não sei", você não tem programa de LGPD em RH. Tem sorte. E sorte não é controle interno.

O erro de método: tratar dado comportamental como documento, não como ativo vivo

Empresas maduras em GDPR já entenderam: dado comportamental não é documento. É ativo. Vive numa plataforma com controle de acesso por papel, retenção configurável, log de quem viu o quê, base legal registrada por titular, portal de titular para exercício de direitos. Não vive em PDF. PDF é fóssil.

A lógica é a mesma que se aplica a prontuário médico — e ninguém no seu hospital manda prontuário por WhatsApp para o gestor da UTI. Por que no RH parece normal?

Porque o RH herdou a cultura do "currículo em Excel". E cultura antiga aplicada em dado sensível novo = passivo garantido.

🧭 Na prática, o que o RH precisa fazer nos próximos 90 dias:

  1. Inventariar onde o perfil comportamental está hoje (drives, e-mails, planilhas, HRIS, consultorias externas).
  2. Definir base legal por finalidade — seleção, desenvolvimento, sucessão são finalidades distintas.
  3. Definir prazo de retenção — regra prática: 6 meses após encerramento do processo para candidato, ciclo de gestão para colaborador ativo.
  4. Migrar de PDF para plataforma com controle de acesso, log e portal de titular.
  5. Treinar gestor. Perfil comportamental não é fofoca de reunião de calibração.

E os assessments "gratuitos" da internet?

Um parênteses necessário. O RH que aplica teste "grátis" achado no Google está entregando dado sensível dos seus colaboradores para um controlador que não tem contrato, não tem DPA, não tem cláusula de retenção, não tem sub-operador declarado. Se o dado vazar — e vaza — o passivo volta pra sua empresa, não pro site indiano que hospedou o quiz. A ANPD chama isso de responsabilidade do controlador. O advogado da parte contrária chama de cliente premium.

Fecho

A LGPD não é mais susto. É contabilidade. R$ 50 milhões por infração é linha de balanço. R$ 153,7 milhões pagos pela ByteDance é jurisprudência. E dado comportamental é o próximo alvo — porque é sensível, volumoso, e mora em cima de titulares que sabem exatamente onde reclamar.

O RH que trata perfil como PDF está montando o passivo mais caro da carreira do próprio CHRO. O RH que trata perfil como ativo vivo, com controle, base e prazo, está construindo o que a ANPD chama de accountability. E o que o negócio chama de inteligência.

Escolha o lado. E escolha essa semana.

Fonte dos dados:

Na Mapeyo, a gente não entrega perfil em PDF por e-mail. A gente opera assessment comportamental como ele merece ser operado: numa plataforma com controle de acesso por papel, retenção configurável, log completo, base legal registrada por titular e portal para exercício de direitos do titular. Porque comportamento é ativo — e ativo vive protegido, não solto no drive. Conheça o Mosaico de Talentos e o modelo para empresas. Ou continue guardando dado sensível em PDF. Sua escolha. Seu passivo.