LGPD e dados comportamentais: o que o RH precisa saber antes de aplicar o DISC

O perfil DISC de um colaborador ou candidato é dado pessoal pela LGPD, porque está ligado a uma pessoa identificada. Ele não é, por si só, dado pessoal sensível: essa categoria é uma lista fechada na lei, que inclui saúde, mas não estilo de comportamento. O cuidado aumenta quando o RH também coleta dados de saúde, algo comum em avaliações psicossociais mal desenhadas. Nos dois casos, a empresa precisa de base legal, transparência, finalidade clara, prazo de guarda e acesso restrito.

DISC é dado pessoal ou dado sensível?

A Lei nº 13.709/2018 (LGPD) define:

• Dado pessoal (art. 5º, I): informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível (art. 5º, II): dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico.

O DISC descreve estilo de comportamento em quatro dimensões, a partir da teoria de William Moulton Marston, de 1928. Ele não diagnostica saúde. Por isso, não se encaixa na lista do art. 5º, II. Se quiser revisar o modelo, veja O que é DISC.

Mas isso não significa “dado leve”. A própria LGPD, no art. 12, § 2º, diz que dados usados para formar o perfil comportamental de uma pessoa identificada podem ser considerados dados pessoais. O legislador pensou exatamente nesse tipo de informação.

Há ainda uma regra de atenção: o art. 11, § 1º, aplica as regras de dado sensível a qualquer tratamento que revele dado sensível e possa causar dano ao titular. Se um questionário pergunta sobre ansiedade, medicação ou afastamentos, essa parte é dado de saúde.

Qual base legal usar para aplicar o DISC?

A LGPD não tem hierarquia entre bases legais. A escolha depende da finalidade. Para o DISC, as mais discutidas são:

• Legítimo interesse (art. 7º, IX). É comum para seleção e desenvolvimento. Exige que só os dados estritamente necessários sejam tratados e que haja transparência (art. 10). O guia orientativo da ANPD Hipóteses legais de tratamento de dados pessoais: legítimo interesse (fevereiro de 2024) recomenda documentar um teste de balanceamento em três fases: finalidade, necessidade, e balanceamento e salvaguardas.
• Procedimentos preliminares de contrato (art. 7º, V), quando o tratamento é necessário para um processo seletivo do qual o candidato participa a pedido dele.
• Consentimento (art. 7º, I). Funciona mal na relação de emprego. A lei exige manifestação livre (art. 5º, XII). O mesmo guia da ANPD observa que empregados estão em posição de maior vulnerabilidade diante do empregador. Se usar consentimento, a recusa não pode trazer prejuízo à pessoa.

Para dados de saúde, a regra é mais estreita. O art. 11 só permite o tratamento com consentimento específico e destacado, ou sem consentimento quando for indispensável, por exemplo, para cumprir obrigação legal ou para tutela da saúde em procedimento feito por profissionais de saúde.

Aqui entra a NR-1. A avaliação de riscos psicossociais é obrigação legal, mas o guia do MTE diz que o objetivo não é avaliar a saúde mental de cada trabalhador, e sim as condições de trabalho. Na prática, coletar diagnóstico individual raramente é “indispensável”. Um desenho anônimo e focado no trabalho atende à norma e reduz o risco na LGPD. Mais sobre esse processo em NR-1 e riscos psicossociais.

Transparência e finalidade: o que informar antes

O art. 6º exige que o tratamento tenha finalidade legítima, específica, explícita e informada, e que o titular tenha transparência sobre ele. O art. 9º lista o que a pessoa tem direito de saber. Antes de aplicar o DISC, informe:

• para que o resultado será usado (seleção, desenvolvimento, formação de equipes);
• quem é o controlador e como falar com ele;
• quem verá o resultado e se há compartilhamento com terceiros;
• por quanto tempo o dado será guardado;
• quais direitos a pessoa tem, com menção ao art. 18 (acesso, correção, eliminação, entre outros).

Cuidado com o desvio de finalidade. Um DISC aplicado para desenvolvimento não deve, depois, virar critério de desligamento sem que isso tenha sido informado. A LGPD proíbe tratamento posterior incompatível com a finalidade original (art. 6º, I) e tratamento para fins discriminatórios ilícitos ou abusivos (art. 6º, IX).

Quem pode ver o resultado?

O princípio da necessidade limita o tratamento ao mínimo necessário (art. 6º, III). O art. 46 exige medidas de segurança contra acessos não autorizados. Para o RH, isso vira regra prática:

• o relatório individual fica com a pessoa avaliada e com quem decide sobre ela no processo;
• o gestor recebe o que precisa para liderar, de preferência a leitura da equipe;
• nada de planilha com perfis circulando por e-mail;
• acessos registrados e revisados quando alguém muda de função ou sai da empresa.

Um bom teste: se o objetivo é entender a equipe, um mapa agregado, sem nomes, costuma bastar.

Por quanto tempo guardar?

A LGPD não fixa um prazo único. O tratamento termina quando a finalidade é alcançada ou o dado deixa de ser necessário (art. 15). Depois, os dados devem ser eliminados, salvo exceções, como cumprimento de obrigação legal ou uso exclusivo do controlador com dados anonimizados (art. 16).

Na prática, defina e documente um prazo para cada caso:

• candidatos não contratados: por quanto tempo o resultado faz sentido para aquela vaga ou para um banco de talentos informado ao candidato;
• colaboradores: enquanto o dado servir à finalidade de desenvolvimento informada;
• avaliação psicossocial: o inventário de riscos da NR-1 deve manter o histórico por 20 anos, mas ele trabalha com grupos expostos e condições de trabalho. Isso não exige guardar respostas individuais identificadas.

Quando fazer o RIPD?

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) descreve tratamentos que podem gerar risco aos titulares e as medidas para reduzir esse risco (art. 5º, XVII, e art. 38). A ANPD, hoje Agência Nacional de Proteção de Dados (nome dado pela Lei nº 15.352/2026), recomenda na sua página de perguntas sobre o RIPD elaborá-lo sempre que o tratamento puder gerar alto risco.

Enquanto não há regulamento próprio, a ANPD indica como parâmetro o art. 4º da Resolução CD/ANPD nº 2/2022. É alto risco quando há, ao mesmo tempo:

• um critério geral: larga escala ou possibilidade de afetar significativamente direitos dos titulares; e
• um critério específico: tecnologia emergente, vigilância de áreas públicas, decisão unicamente automatizada (inclusive para definir perfil profissional ou aspectos da personalidade) ou uso de dados sensíveis.

Exemplos: uma avaliação psicossocial que guarda dados de saúde identificados de muitos empregados tende a se enquadrar. Um DISC que filtra candidatos automaticamente, em alto volume, também. Em casos menores, documentar uma análise de risco simples continua sendo boa prática de prestação de contas (art. 6º, X).

Atenção para empresas pequenas: a Resolução nº 2/2022 dispensa agentes de pequeno porte de indicar encarregado, desde que mantenham um canal com os titulares (art. 11). Mas, em regra, quem faz tratamento de alto risco perde esse regime diferenciado (art. 3º, I).

Decisão automatizada: o art. 20 e o processo seletivo

O art. 20 da LGPD dá ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as que definem perfil profissional ou aspectos da personalidade. O controlador deve informar, quando solicitado, os critérios e procedimentos usados.

Na seleção, a regra de ouro é simples: o DISC não reprova ninguém sozinho. Ele descreve estilo de comportamento, não prevê desempenho. Use-o como um critério entre vários, com uma pessoa revisando a decisão. Para levar o perfil à conversa com o candidato, veja Entrevista por perfil DISC.

Vale lembrar o que está em jogo. O art. 52 prevê sanções que vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio e eliminação dos dados.

Checklist antes de aplicar o DISC

1. Finalidade definida e escrita (seleção, desenvolvimento ou ambos).
2. Base legal escolhida e documentada; teste de balanceamento, se for legítimo interesse.
3. Aviso claro ao participante, com direitos do art. 18.
4. Questionário sem perguntas de saúde.
5. Lista de quem acessa cada relatório.
6. Prazo de guarda e rotina de eliminação.
7. Revisão humana em qualquer decisão sobre a pessoa.
8. Canal para pedidos dos titulares.
9. Análise de risco ou RIPD, se houver critério de alto risco.

Como o NorMAI ajuda

O NorMAI DISC entrega relatório por colaborador e por equipe, além do mapa de perfis da empresa. Isso facilita separar o que é individual do que é leitura coletiva. O NorMAI NR-1 trabalha com resultados agregados por setor, focados nas condições de trabalho, registra o aceite da política de privacidade e permite ao colaborador exportar seus dados e pedir a exclusão. As decisões de base legal, aviso e prazo de guarda continuam sendo da sua empresa, como controladora dos dados. Conheça os produtos e tire suas dúvidas na demonstração gratuita.