Ao avaliar riscos psicossociais, organizações podem coletar dados sensíveis, ampliar o monitoramento e criar novos passivos em nome da conformidade
Desde 26 de maio de 2026, a nova redação da Norma Regulamentadora nº 1 passou a incluir expressamente os fatores de risco psicossociais relacionados ao trabalho no Gerenciamento de Riscos Ocupacionais.
Sobrecarga, assédio, falta de autonomia, isolamento, dificuldades de comunicação e jornadas excessivas agora precisam ser identificados, avaliados e enfrentados pelas organizações dentro do Gerenciamento de Riscos Ocupacionais (GRO) e do Programa de Gerenciamento de Riscos.
A obrigação também alcança o trabalho remoto, híbrido e o teletrabalho. O próprio Ministério do Trabalho e Emprego esclareceu que a avaliação deve considerar as diferentes formas de organização e execução das atividades, inclusive aquelas realizadas fora das dependências da empresa.
A omissão na identificação, avaliação e controle dos fatores de risco psicossociais pode sujeitar a empresa à fiscalização do trabalho, com notificações, autos de infração, exigências de adequação e outras repercussões administrativas. Se houver adoecimento relacionado às condições laborais, a ausência de medidas preventivas também poderá ser considerada em reclamações trabalhistas, pedidos de indenização e investigações conduzidas pelo Ministério Público do Trabalho.
Mas o risco não está apenas em deixar de cumprir a NR-1. A forma escolhida para realizar essa adequação também pode criar novos passivos. Questionários individualizados, coleta de informações sobre saúde mental, monitoramento de trabalhadores, contratação de plataformas e uso de indicadores comportamentais envolvem tratamento de dados pessoais e precisam observar a LGPD, a privacidade e os limites do poder de controle da empresa.
A conformidade com a NR-1 não pode ser conduzida isoladamente pelo RH ou pela área de Segurança e Saúde no Trabalho. Sempre que envolver questionários, plataformas, monitoramento ou tratamento de informações dos trabalhadores, sua implementação também exigirá decisões ligadas à proteção de dados, à segurança da informação e à governança tecnológica.
A NR-1 não exige um diagnóstico psicológico de cada trabalhador
Este é o primeiro ponto que as empresas precisam compreender.
Segundo o Guia de Fatores de Riscos Psicossociais do Ministério do Trabalho e Emprego, o objetivo da avaliação não é investigar o estado de saúde mental de cada empregado.
A finalidade é examinar as condições em que o trabalho é realizado e identificar fatores da organização capazes de provocar adoecimento.
A empresa não deveria começar perguntando quais trabalhadores têm depressão, utilizam medicamentos, fazem terapia ou apresentam determinado diagnóstico. Deveria investigar se existem metas inexequíveis, sobrecarga, falta de apoio, isolamento, conflitos, ausência de pausas, jornadas prolongadas ou cobrança permanente.
Transformar uma avaliação ocupacional em rastreamento clínico individual aumenta desnecessariamente a quantidade de dados sensíveis tratados pela organização.
Além de contrariar a lógica preventiva da norma, essa prática pode expor trabalhadores a discriminação, constrangimento, estigmatização e decisões profissionais baseadas em informações de saúde.
A NR-1 não exige nem, por si só, justifica que o RH mantenha um banco de dados individualizado sobre a saúde mental dos empregados.
Quando o monitoramento de produtividade se transforma em fator de risco
Para acompanhar atividades, produtividade e segurança, algumas organizações utilizam softwares capazes de registrar cliques, períodos de inatividade, aplicativos acessados, páginas visitadas e quantidade de tarefas concluídas.
Soluções mais invasivas podem realizar capturas automáticas de tela, registrar teclas digitadas, ativar webcam, coletar áudio ou calcular uma suposta pontuação de produtividade.
O poder de direção permite que a empresa acompanhe o trabalho realizado. Isso, porém, não autoriza vigilância irrestrita.
O monitoramento deve possuir finalidade legítima, ser necessário, transparente e proporcional. A empresa precisa demonstrar por que determinado dado é indispensável e por que uma medida menos invasiva não seria suficiente.
O próprio Tribunal Superior do Trabalho, ao abordar os limites do controle no home office, destacou que o acompanhamento deve ocorrer dentro da razoabilidade e que não se deve admitir, como regra, o monitoramento por câmera no ambiente residencial. Veja a orientação divulgada pelo TST.
A vigilância digital constante também pode produzir o risco que a empresa deveria prevenir.
O trabalhador que sabe que sua tela pode ser capturada a qualquer momento, que cada período sem movimentação será registrado ou que sua imagem precisa permanecer disponível durante toda a jornada pode experimentar pressão contínua, redução de autonomia e medo de ser punido por métricas descontextualizadas.
Nesse cenário, a ferramenta deixa de ser apenas um recurso de gestão. Sua própria utilização pode integrar a avaliação dos fatores de risco psicossociais relacionados ao trabalho.
Hiperconectividade e disponibilidade permanente
No trabalho remoto, a jornada não termina necessariamente quando o empregado fecha o notebook.
Teams, Slack, WhatsApp, e-mail e plataformas corporativas permitem que a cobrança continue durante a noite, em finais de semana, feriados e períodos de descanso.
Uma mensagem isolada fora do expediente não caracteriza automaticamente uma infração. A própria CLT estabelece regras específicas sobre o uso de equipamentos e aplicações de internet fora da jornada no teletrabalho.
A questão se torna complexa quando a comunicação se transforma em expectativa permanente de disponibilidade, cobrança reiterada, supressão de repousos ou prolongamento habitual das atividades.
A empresa pode até não ordenar expressamente que o trabalhador responda, mas a cultura organizacional pode transmitir essa obrigação de forma indireta.
Mensagens frequentes da liderança durante a madrugada, respostas usadas como critério de comprometimento, grupos corporativos que não respeitam períodos de descanso e cobranças acumuladas para a primeira hora da manhã são sinais que merecem avaliação.
Por isso, a análise da NR-1 precisa alcançar também a governança dos canais digitais.
Não basta criar uma política genérica de desconexão. A empresa deve definir horários, canais, situações de urgência, expectativas de resposta e responsabilidades das lideranças.
A coleta excessiva de dados de saúde mental
A identificação de fatores psicossociais pode envolver questionários, entrevistas, pesquisas de clima, indicadores de afastamento, informações do Programa de Controle Médico de Saúde Ocupacional (PCMSO) e dados de absenteísmo.
Esses instrumentos não produzem automaticamente dados pessoais sensíveis. Uma pesquisa verdadeiramente anônima sobre carga de trabalho, por exemplo, pode não permitir a identificação dos participantes.
A situação muda quando as respostas são individualizadas ou permitem inferir o estado de saúde de uma pessoa.
Histórico de depressão, uso de medicamentos, tratamento psicológico, diagnóstico de burnout, afastamentos médicos e outras informações relacionadas à saúde são dados pessoais sensíveis conforme a LGPD.
O tratamento dessas informações exige fundamento jurídico adequado, finalidade delimitada, necessidade, segurança reforçada e restrição de acesso. A utilização posterior para avaliar desempenho, selecionar promoções ou justificar desligamentos pode representar uso incompatível e discriminatório.
Também é preciso ter cuidado com a falsa anonimização.
Em uma equipe com três integrantes, informar que uma pessoa do setor apresenta determinado quadro pode permitir sua identificação mesmo que o nome tenha sido removido. Cargo, idade, unidade, gestor e período de afastamento também podem tornar o trabalhador identificável.
No contexto laboral, pedir consentimento não resolve automaticamente o problema. A assimetria existente na relação de emprego pode comprometer a liberdade da manifestação de vontade. A organização deve identificar a base legal apropriada e demonstrar por que o tratamento é necessário.
Gestão algorítmica e decisões automatizadas
As ferramentas digitais utilizadas na gestão do trabalho não apenas coletam informações. Muitas delas também classificam trabalhadores.
Plataformas podem atribuir notas de produtividade, engajamento, risco, comportamento ou eficiência com base em tempo de tela, velocidade de resposta, número de reuniões, movimentação do mouse e outros indicadores.
Essas métricas dificilmente representam, sozinhas, a qualidade do trabalho realizado.
Um período de inatividade pode corresponder à leitura de um documento impresso, a uma ligação telefônica, a uma reunião presencial ou a uma atividade intelectual que não exige movimentação constante no computador.
Quando pontuações automatizadas influenciam advertências, remuneração, promoção ou desligamento, a empresa precisa considerar o artigo 20 da LGPD, que assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Também devem ser avaliados os riscos de erro, discriminação e opacidade dos critérios utilizados.
Uma empresa não deveria tomar decisões relevantes sobre seus empregados com base em uma pontuação que ninguém consegue explicar.
O ambiente doméstico também pode ser capturado
No escritório, a organização controla o ambiente no qual o monitoramento é realizado. No home office, a situação é diferente.
Webcams, microfones e capturas de tela podem registrar informações que não pertencem à relação de trabalho, como:
- imagens de familiares e crianças;
- conversas particulares;
- documentos médicos ou bancários;
- mensagens pessoais;
- senhas e credenciais;
- informações de clientes;
- documentos protegidos por sigilo profissional;
- características do interior da residência.
O risco é ainda maior quando o trabalhador utiliza equipamento próprio ou compartilha o espaço doméstico com outras pessoas.
Por isso, a análise de proporcionalidade precisa considerar não apenas os dados do empregado, mas também a possibilidade de coleta incidental de informações de familiares, clientes e terceiros.
A proteção da propriedade e dos sistemas da empresa não autoriza uma invasão desnecessária da intimidade do lar.
Como a adequação à NR-1 repercute na documentação de privacidade
Embora a NR-1 não determine diretamente a elaboração de documentos de privacidade, sua implementação pode criar ou modificar operações de tratamento de dados pessoais.
A adoção de questionários, plataformas, indicadores e ferramentas de monitoramento pode exigir a revisão dos documentos e controles de proteção de dados e governança digital da organização.
Entre os principais documentos estão:
- Aviso de Privacidade dos Colaboradores
Deve informar quais dados são coletados, para quais finalidades, quem poderá acessá-los, com quem serão compartilhados, durante quanto tempo serão armazenados e como os trabalhadores poderão exercer seus direitos.
- Registro das Operações de Tratamento
O inventário de dados pessoais deve contemplar questionários psicossociais, entrevistas, indicadores de afastamento, informações ocupacionais, pesquisas de clima, ferramentas de produtividade e plataformas contratadas.
A NR-1 pode alterar não apenas o inventário de riscos ocupacionais, mas também o inventário de dados pessoais da empresa.
- Relatório de Impacto à Proteção de Dados
Tratamentos que envolvam dados de saúde, monitoramento sistemático, perfilamento, grande volume de trabalhadores ou decisões automatizadas podem justificar a elaboração de um Relatório de Impacto à Proteção de Dados.
Embora o RIPD não seja automaticamente obrigatório em toda implementação da NR-1, ele constitui uma importante evidência de governança e pode ser solicitado pela ANPD.
- Política de Monitoramento e Uso de Recursos Tecnológicos
A empresa deve documentar quais recursos corporativos são monitorados, quais informações são coletadas, as finalidades do tratamento, as situações em que o monitoramento ocorre, quem poderá acessar os registros, os prazos de retenção e os usos proibidos.
Essa disciplina pode constar de uma política específica ou integrar a Política de Segurança da Informação, a Política de Uso Aceitável e o Aviso de Privacidade dos Colaboradores.
A mera instalação de uma ferramenta ou a inclusão de uma cláusula genérica no contrato de trabalho não torna legítima toda e qualquer forma de monitoramento. A empresa também precisa demonstrar que a medida possui finalidade legítima, base legal adequada e que é necessária, transparente e proporcional ao risco que pretende controlar.
- Política de Teletrabalho e Desconexão, quando aplicável
O documento deve estabelecer regras para jornadas, canais de comunicação, situações de urgência, expectativa de resposta, uso de aplicativos pessoais e contatos fora do expediente.
Essas regras também precisam ser incorporadas à conduta das lideranças. Uma política formal será pouco útil se gestores continuarem premiando disponibilidade permanente.
- Política de Retenção e Descarte
Respostas individualizadas, gravações, relatórios de saúde e métricas de produtividade não devem ser conservados indefinidamente.
A empresa precisa definir prazos justificáveis e procedimentos seguros de eliminação.
- Controle de acesso e segregação das informações
Dados clínicos individualizados devem permanecer sob responsabilidade dos profissionais habilitados e protegidos pelo sigilo aplicável. As áreas de SST, RH e gestão devem acessar somente as informações estritamente necessárias ao exercício de suas funções.
Sempre que possível, resultados utilizados para prevenção e gestão devem ser apresentados de forma agregada ou pseudonimizada.
Gestores podem precisar conhecer restrições funcionais e medidas de adaptação, mas não devem receber automaticamente diagnósticos, prontuários ou respostas individualizadas de seus subordinados.
O PGR deve registrar os fatores de risco presentes nas condições e na organização do trabalho, os grupos expostos e as medidas preventivas. Não deve ser utilizado como prontuário médico ou psicológico nominativo.
- Contratos com fornecedores
Plataformas de RH, SST, telemedicina, pesquisas de clima e monitoramento precisam ser avaliadas quanto à segurança, retenção, subcontratação, resposta a incidentes, eliminação de dados e transferências internacionais.
Contratar uma plataforma não transfere para o fornecedor toda a responsabilidade pelo tratamento.
- Plano de Resposta a Incidentes
O plano precisa contemplar vazamentos, compartilhamentos indevidos e acessos não autorizados a informações de saúde ou a resultados de avaliações psicossociais.
Por sua natureza, um incidente envolvendo dados de saúde mental pode produzir riscos relevantes de discriminação, exposição e dano moral.
Como construir um compliance integrado
Uma adequação consistente exige a participação coordenada das áreas de SST, recursos humanos, jurídico, privacidade, segurança da informação e tecnologia.
O projeto deve incluir:
- mapeamento dos fatores psicossociais presentes nas diferentes modalidades de trabalho;
- inventário das ferramentas de monitoramento e produtividade;
- análise de necessidade e proporcionalidade;
- mapeamento dos fluxos de dados pessoais;
- definição das bases legais aplicáveis;
- avaliação de fornecedores e transferências internacionais;
- segregação entre dados clínicos, informações de SST e indicadores gerenciais;
- revisão das políticas de monitoramento, comunicação e desconexão e, quando aplicável, de teletrabalho;
- definição de prazos de retenção e descarte;
- avaliação de decisões automatizadas;
- criação de evidências documentais das medidas implementadas;
- treinamento de gestores e trabalhadores;
- acompanhamento da eficácia das medidas adotadas.
Segundo o MTE, a aplicação isolada de questionários não é suficiente para comprovar o gerenciamento dos fatores de risco psicossociais. Os resultados precisam ser tecnicamente analisados, incorporados ao processo de avaliação e acompanhados de medidas efetivas de prevenção.
A organização precisa demonstrar coerência metodológica, participação dos trabalhadores, implementação efetiva das medidas preventivas e acompanhamento dos resultados.
Conclusão
Cumprir a NR-1 coletando dados excessivos, vigiando trabalhadores ou expondo informações de saúde não é conformidade. É criar um segundo passivo enquanto se tenta resolver o primeiro.
Na gestão contemporânea do trabalho, riscos psicossociais, privacidade e tecnologia fazem parte do mesmo problema.
A empresa que trata esses temas separadamente pode ter um PGR formalmente atualizado e, ao mesmo tempo, manter ferramentas invasivas, acessos indevidos, decisões algorítmicas opacas e bancos de dados sensíveis sem governança adequada.
A conformidade precisa ser construída desde a concepção, com critérios de necessidade, proporcionalidade, segurança, transparência e prevenção.
Sua empresa está atualizando o PGR ou implantando avaliações de riscos psicossociais?
A José Milagre Advogados realiza diagnósticos integrados de NR-1, proteção de dados e governança digital, com revisão de ferramentas de monitoramento, fluxos de dados, políticas internas, fornecedores, controles de acesso e documentação de conformidade.
Uma análise preventiva permite identificar riscos trabalhistas, tecnológicos e de privacidade antes que eles se transformem em incidentes, autuações ou disputas judiciais.
