Existe uma pergunta que quase nenhum fornecedor de ponto responde direito: até onde a empresa pode ir no registro da jornada sem invadir a privacidade do colaborador?

A dúvida é legítima e tem consequência dupla. De um lado, a Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar sanção por tratamento irregular de dados pessoais. Do outro, o Ministério do Trabalho e Emprego (MTE) pode autuar por controle de jornada deficiente, e a Justiça do Trabalho tende a interpretar a ausência de registro confiável a favor do trabalhador. São dois riscos que apontam para direções opostas: um pede menos dados, o outro pede mais prova.

A LGPD no controle de ponto não se resolve escolhendo um dos lados. Ela se resolve entendendo quais dados a empresa realmente precisa coletar, com qual base legal, por quanto tempo, e onde traçar o limite entre controlar jornada e vigiar pessoas.

Quais dados o controle de jornada realmente coleta

O primeiro passo é parar de tratar “dados de ponto” como uma categoria única. Um sistema de jornada típico processa pelo menos cinco tipos de informação, e cada um tem regime jurídico diferente.

Essa separação importa porque a maioria das empresas aplica a mesma política a todos eles. O resultado é excesso em uma ponta, biometria armazenada sem necessidade real, e falta na outra, jornada sem registro auditável.

O erro mais comum: fundamentar tudo em consentimento

Se existe um ponto onde a maior parte das empresas brasileiras errou, é aqui.

A prática difundida é pedir ao colaborador que assine um termo de consentimento para coleta de biometria no ponto. Parece cuidadoso. Na prática, é a base legal mais frágil que se poderia escolher.

O motivo é a subordinação. A LGPD exige que o consentimento seja livre, informado e revogável a qualquer momento. Num vínculo empregatício, o colaborador que depende economicamente do empregador dificilmente recusa sem perceber risco para o emprego. Existe entendimento consolidado na doutrina de proteção de dados de que esse consentimento pode ser considerado viciado justamente por isso, e o art. 8º, § 5º da LGPD reforça que o consentimento não pode ser condicionado à prestação de serviço.

Há um problema adicional e mais concreto: se o consentimento é revogável, e o colaborador o revoga, a empresa fica sem base legal para tratar um dado que ela é obrigada por lei a registrar. O sistema entra em contradição consigo mesmo.

As bases mais robustas para registro de jornada são outras duas:

• Cumprimento de obrigação legal ou regulatória (art. 11, II, “a”), ancorado no art. 74 da CLT, que atribui ao empregador o dever de controlar a jornada, e na Portaria MTP nº 671/2021, que regulamenta o registro eletrônico e admite biometria como método de identificação.
• Garantia da prevenção à fraude e da segurança do titular em processos de identificação e autenticação (art. 11, II, “g”), que endereça diretamente o problema clássico do registro feito por terceiro.

Um detalhe que costuma passar batido: a Portaria 671 autoriza biometria, mas não a torna obrigatória. Existem alternativas válidas, como senha, cartão ou aplicativo sem leitura biométrica. Quando há alternativa viável, o uso de dado sensível precisa ser justificado pelo princípio da necessidade, e não apenas escolhido por conveniência operacional.

Vale a ressalva: esta análise é informativa e não substitui parecer jurídico. A definição da base legal precisa ser documentada caso a caso, com apoio da área jurídica ou do encarregado de dados.

Até onde a empresa pode monitorar

Aqui está a fronteira que quase ninguém explicita.

Controlar jornada e monitorar produtividade são finalidades diferentes, e misturá-las é a origem da maior parte dos problemas. Registrar que o colaborador iniciou a jornada às 8h12 é cumprimento de obrigação legal. Registrar quais sites ele visitou, capturar tela, contar teclas digitadas ou medir tempo de inatividade é outra finalidade, com outra base legal, outro nível de risco e outro grau de intrusão.

O princípio da necessidade, previsto no art. 6º, III da LGPD, determina que o tratamento se limite ao mínimo necessário para a finalidade declarada. Aplicado a jornada, isso significa uma regra prática simples: colete tempo e acesso, não conteúdo e comportamento.

O desvio de finalidade é o risco mais frequente nesse terreno. Dados biométricos coletados para registro de ponto, depois reaproveitados para mapear circulação interna ou cruzar com sistemas de vigilância de produtividade, configuram nova finalidade e exigem nova base legal. É exatamente o tipo de uso que transforma uma coleta legítima em infração.

Prazo de guarda e descarte

Guardar demais é infração. Guardar de menos é perder a defesa.

Registros de ponto acompanham a lógica da prescrição trabalhista prevista no art. 7º, XXIX da Constituição: o colaborador tem até dois anos após o desligamento para ajuizar ação, podendo reclamar verbas dos últimos cinco anos. Por isso, cartões, fichas e registros de ponto costumam ser mantidos pelo prazo de cinco anos.

O art. 16, I da LGPD sustenta essa retenção mesmo diante de pedido de eliminação pelo titular, porque há obrigação legal envolvida. O que a lei não autoriza é manter o dado indefinidamente depois de cessada a finalidade. Vencido o prazo, o descarte precisa ser seguro, irreversível e documentado.

A biometria merece tratamento distinto do registro de horário. O horário precisa ser preservado como prova. O template biométrico, uma vez encerrado o vínculo, raramente tem justificativa para permanecer armazenado. Separar os dois ciclos de vida é uma das medidas de maior impacto e menor custo em governança de dados de RH.

O que a ANPD pode aplicar

O art. 52 da LGPD prevê um conjunto de sanções que vai além da multa. A advertência, com prazo para medidas corretivas, é a de menor gravidade formal, mas seu descumprimento abre caminho para as demais.

• Multa simples: até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II).
• Multa diária, observado o mesmo limite total (art. 52, III).
• Publicização da infração, com o custo reputacional que isso implica (art. 52, IV).
• Bloqueio ou eliminação dos dados relacionados à infração (art. 52, V e VI).

Dois pontos costumam ser mal compreendidos. O primeiro é que o limite se aplica por infração, e um único incidente pode gerar várias: ausência de base legal adequada, falta de encarregado, ausência de medidas de segurança e falha na comunicação do incidente somam autuações distintas. O segundo é que a base de cálculo é o faturamento bruto, não o lucro, o que para empresas de margem apertada pode representar múltiplos da lucratividade anual.

Somado a isso existe o risco trabalhista, que corre em paralelo. Registros de jornada figuram entre os elementos de prova mais frequentes em reclamações, e a mesma informação que precisa ser protegida pela LGPD precisa estar íntegra e disponível quando a empresa for se defender.

Checklist de conformidade

Use esta lista como ponto de partida para uma revisão interna:

• A base legal de cada operação de tratamento está documentada, e a de biometria está fundamentada em obrigação legal ou prevenção à fraude, não em consentimento?
• Existe registro das operações de tratamento, conforme exige o art. 37 da LGPD?
• Os colaboradores foram informados, em linguagem clara, sobre quais dados são coletados e com qual finalidade?
• O contrato com o fornecedor do sistema de ponto inclui cláusulas de proteção de dados e define papéis de controlador e operador?
• Os dados biométricos são armazenados com criptografia, e o acesso é restrito a quem tem necessidade funcional comprovada?
• Existe tabela de temporalidade com prazos de guarda e procedimento de descarte seguro?
• Há plano de resposta a incidentes específico para dados de RH, com fluxo definido de comunicação à ANPD e aos titulares?
• Existe alternativa disponível para o colaborador que apresente impedimento fundamentado ao uso de biometria?
• O escopo do monitoramento está limitado a tempo e acesso, sem coleta de conteúdo, tela ou comportamento?
• Auditorias periódicas verificam se o uso real dos dados continua dentro da finalidade declarada?

Se mais de três respostas foram negativas, a exposição é maior do que a maioria dos gestores estima.

O ponto cego: estar em conformidade não impede a jornada irregular

Aqui está a limitação estrutural de qualquer sistema de registro, por mais adequado que ele esteja à norma.

O ponto eletrônico documenta o que já aconteceu. Ele registra que o colaborador trabalhou até 21h40. Não impede que isso aconteça. Para o Financeiro, no momento em que o dado existe, a hora extra já virou custo. Para o Jurídico, o mesmo registro é a prova documental de uma jornada irregular que a empresa não conseguiu evitar. E, sob a ótica da NR-1 atualizada, jornada sistematicamente estendida sem trava é justamente o tipo de fator organizacional que a norma exige mapear como risco psicossocial.

Conformidade documental resolve a forma. Não resolve a causa.

É nesse intervalo que o Scua Logon atua, como camada de gestão ativa entre o registro de ponto e o fechamento da folha. Ele bloqueia o acesso à estação de trabalho fora do horário autorizado, exige aprovação do gestor para extensão de jornada e oferece visibilidade em tempo real de quem está estendendo a jornada, evitando que a hora extra não autorizada simplesmente ocorra.

Há um aspecto relevante desse desenho sob a ótica da proteção de dados: o Logon trabalha com horário e acesso, não com biometria, conteúdo de tela ou monitoramento de comportamento. Ele não amplia a superfície de dados sensíveis da empresa, o que está alinhado ao princípio da necessidade, e ao mesmo tempo gera o registro auditável que sustenta defesa em processo trabalhista e demonstração de gestão ativa em fiscalização.

Em outras palavras, é possível reduzir o risco trabalhista sem aumentar o risco de privacidade. As duas exigências deixam de ser um dilema quando o controle se concentra no dado estritamente necessário.

Perguntas frequentes

Biometria é considerada dado sensível pela LGPD? Sim. O art. 5º, II da LGPD inclui expressamente dado biométrico vinculado a pessoa natural na categoria de dado pessoal sensível, o que sujeita seu tratamento ao regime mais restritivo do art. 11.

A empresa precisa do consentimento do colaborador para usar ponto biométrico? Não necessariamente, e o consentimento tende a ser a base menos indicada. A subordinação característica do vínculo empregatício fragiliza a exigência de consentimento livre. As bases mais defensáveis são cumprimento de obrigação legal (art. 11, II, “a”), ancorado no art. 74 da CLT e na Portaria 671, e prevenção à fraude na identificação (art. 11, II, “g”). A definição deve ser documentada com apoio jurídico.

Qual a multa por vazamento de dados de ponto? A multa simples pode alcançar 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, conforme o art. 52, II da LGPD. Há também previsão de multa diária, bloqueio ou eliminação dos dados e publicização da infração.

Por quanto tempo os registros de ponto devem ser guardados? O prazo usual é de cinco anos, alinhado à prescrição trabalhista do art. 7º, XXIX da Constituição. Vencido o prazo e cessada a finalidade, o descarte deve ser seguro e documentado. O template biométrico, diferente do registro de horário, raramente tem justificativa para permanecer armazenado após o fim do vínculo.

A empresa pode monitorar o que o colaborador faz no computador durante a jornada? Controlar jornada e monitorar atividade são finalidades distintas, com bases legais e riscos distintos. Registrar horário e acesso é sustentado pela obrigação legal de controle de jornada. Capturar tela, histórico de navegação ou comportamento configura outra finalidade, exige fundamentação própria e amplia consideravelmente a exposição da empresa.

Conheça como a Scua pode transformar o controle de jornada da sua empresa: saiba mais sobre o Scua Logon ou entre em contato com a nossa equipe.