O monitoramento de colaboradores é permitido pela Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) — mas com limites precisos que definem a diferença entre gestão de risco legítima e violação de privacidade. Em 2026, com a ANPD consolidada como agência reguladora com poder real de multar, e com a NR-1 passando a exigir a gestão de riscos psicossociais, entender esses limites deixou de ser opcional para qualquer empresa que opere com funções de risco relevante.

Dado de autoridade: Segundo o Global Integrity Report da EY, desvios de conduta, conflitos de interesse e comportamentos antiéticos permanecem entre os principais riscos corporativos globais — especialmente quando não há monitoramento contínuo e estruturado.

No artigo da semana anterior, partimos de uma pergunta essencial para qualquer programa de compliance: quem são meus colaboradores? O background check cumpre bem esse papel, mas com uma limitação clara: ele olha para o passado e, muitas vezes, capta apenas um recorte do momento. Em gestão de risco, o passado e os recortes são apenas indicativos, não uma garantia.

A pergunta que diferencia empresas reativas de empresas estrategicamente estruturadas é outra: como identificar, ao longo da relação de trabalho, comportamentos que possam evoluir para riscos jurídicos, operacionais, psicossociais e reputacionais?

A resposta passa, inevitavelmente, por um tema sensível e muitas vezes mal compreendido: o monitoramento de colaboradores.

A boa notícia é que esse monitoramento é possível. A má notícia é que, quando malconduzido, gera o efeito que as empresas pretendem evitar.

Monitorar não é ilegal, é necessário

Em uma frase: Monitoramento de colaboradores é o conjunto de mecanismos legítimos que a empresa utiliza para acompanhar comportamentos, condutas e riscos associados às funções exercidas — dentro dos limites da LGPD, da CLT e da proporcionalidade.

A ideia de que qualquer forma de monitoramento viola a privacidade do trabalhador precisa ser superada, pois isso não é verdade.

A empresa possui não apenas o direito, mas o dever de:

• proteger seu patrimônio;
• prevenir fraudes e desvios;
• garantir a segurança de suas operações;
• garantir a segurança de seus colaboradores;
• preservar sua reputação.

Em setores mais sensíveis e fortemente regulados – bancário, farmacêutico, financeiro, energia, mineração ou aviação, por exemplo – os deveres acima elencados precisam ser tratados com maior rigor.

A própria NR-1 reforça essa lógica ao exigir que a empresa identifique e gerencie riscos ocupacionais, incluindo fatores psicossociais e comportamentais.

Ou seja, o comportamento deixou de ser apenas uma questão disciplinar e passou a ser um fator de risco corporativo.

Limites da LGPD: o “como” ao invés do “se”

A Lei Geral de Proteção de Dados Pessoais (Lei n° 13.709/2018), não proíbe o monitoramento de colaboradores, mas estabelece critérios para sua realização.

O que define a legalidade não é a existência do monitoramento, mas a forma como este está estruturado, em especial no que se refere à finalidade, proporcionalidade e transparência e tratamento das informações.

Três perguntas funcionam como um teste de validade do monitoramento:

• tem uma finalidade legítima?
• é necessário para atingir o objetivo?
• é proporcional ao risco que se pretende evitar?

Se as respostas para essas três perguntas forem positivas e embasadas, o monitoramento tende a ser juridicamente defensável, desde que haja a ciência e consentimento prévio do funcionário.

Sem a observância de critérios mínimos e bem estruturados, o risco deixa de ser do colaborador e passa a ser da empresa.

Ademais, caso o tema do monitoramento transborde para uma discussão judicial, é imprescindível que a empresa demonstre, comprovadamente, que suas ações não foram desproporcionais nem discriminatórias – mas necessárias para a proteção do negócio e de seus colaboradores.

O erro mais comum: tratar todos os colaboradores da mesma forma

Um equívoco muito frequente é aplicar o mesmo nível de controle para todos os cargos.

Em gestão de risco, a generalidade não funciona.

O nível de monitoramento deve ser proporcional ao grau de risco da função.

Assim como no background check, o ideal é que o monitoramento também seja estruturado em níveis, de acordo com o grau de risco da função.

Funções operacionais e com impacto limitado exigem controles básicos. Já funções estratégicas – com poder decisório, acesso a recursos relevantes ou capacidade de influenciar terceiros – exigem um nível mais sofisticado de governança.

É nesse ponto que entram as situações mais sensíveis.

Monitoramento ampliado: até onde é possível ir?

Em empresas multinacionais, ou organizações com forte exposição a riscos de corrupção e fraude, é comum a adoção de medidas mais rigorosas para determinados cargos. Entre elas:

• declarações periódicas de conflito de interesse;
• comunicação de participações societárias;
• acompanhamento de evolução patrimonial.

Em cenários mais extremos, surgem exigências como:

• apresentação de extratos bancários;
• informações relacionadas a familiares próximos.

À primeira vista, essas práticas podem parecer excessivas e, de fato, muitas vezes são. Entretanto, a análise jurídica não pode ser feita de forma superficial.

A pergunta correta não é “isso pode ou não pode?”, mas sim: em quais condições isso pode ser considerado legítimo?

A empresa pode estruturar mecanismos preventivos, respeitando camadas fundamentais:

1. Consentimento informado e contextualizado

Especialmente em cargos críticos, é possível estabelecer, desde a contratação:

• cláusulas específicas de monitoramento;
• políticas de integridade reforçadas;
• compromissos de conduta ampliados.

Ressalva-se que o consentimento, no contexto trabalhista, não é absoluto, por si só, para legitimar medidas de monitoramento.

Isso ocorre porque a relação de emprego envolve um grau de subordinação que pode comprometer a liberdade real de escolha.

Portanto, mesmo que o colaborador aceite as condições para assumir o cargo, a empresa ainda precisa demonstrar que houve transparência real e possibilidade de compreensão pelo colaborador, além de coerência com o risco da função – ou seja, que estavam presentes a tríade: necessidade, proporcionalidade e adequação.

2. Mecanismos estruturados de controle em ambientes sensíveis

Em situações específicas, especialmente quando o colaborador está em regime de prontidão, utilizando instalações da empresa ou vinculado a atividades críticas, é possível adotar medidas como:

• controle de acesso e permanência em áreas designadas;
• políticas de uso de instalações corporativas;
• restrições comportamentais vinculadas à função;
• programas de acompanhamento psicossocial.

Nesse contexto, o monitoramento recai sobre o contexto funcional, não sobre a vida privada em si.

3. Monitoramento comportamental por indicadores

Uma evolução dos programas de compliance é deixar de atuar somente após a consumação do ilícito, para utilizar a antecipação de padrões de comportamento como uma ferramenta de gestão de risco.

A questão que se impõe é: é possível estruturar mecanismos de monitoramento que antecipem comportamentos críticos antes que eles se materializem em eventos de risco? Essa pergunta nos leva diretamente ao conceito de riscos psicossociais, reconhecidos expressamente pela NR-1 como parte integrante da gestão de riscos ocupacionais.

Tradicionalmente, a empresa reage ao ato ilícito ou ao evento danoso. Entretanto, em uma abordagem mais madura — e alinhada às melhores práticas de compliance — é imprescindível deslocar o olhar:

• do ato → para o comportamento
• do evento → para o padrão
• da reação → para a antecipação

Significa reconhecer que o risco não surge de forma abrupta, ele se constrói ao longo do tempo, por meio de sinais – muitas vezes sutis –, mas que podem ser identificados.

NR-1 — Atualização de maio de 2026: A partir de maio de 2026, a NR-1 passa a exigir explicitamente que as empresas incluam riscos psicossociais no Programa de Gerenciamento de Riscos (PGR) — tornando o monitoramento comportamental não apenas recomendável, mas parte da obrigação legal de gestão de riscos ocupacionais.

A NR-1 não trata apenas de agentes físicos ou ambientais, exige-se que a empresa considere fatores como:

• estresse;
• fadiga;
• instabilidade emocional;
• conflitos interpessoais;
• condições que afetem a capacidade de tomada de decisão

Ou seja, o monitoramento comportamental passa a ter relevância estratégica.

Ademais, em determinadas atividades os fatores acima relacionados são centrais. Isto porque, algumas posições dependem diretamente da condição psicossocial do indivíduo, a exemplo de profissões que envolvem:

• transporte de pessoas;
• operação de equipamentos críticos;
• decisões financeiras relevantes;
• gestão de riscos operacionais.

As empresas precisam entender e conhecer as pessoas que atuam em seu nome.

Assim, o monitoramento comportamental por indicadores, se bem conduzido e embasado, também permite identificar riscos sem invadir a esfera privada.

Quando o monitoramento mais invasivo pode ser justificável?

Existem situações em que um nível mais elevado de monitoramento pode ser juridicamente defensável. Isso ocorre quando há uma combinação de fatores:

1. Alto grau de risco da função
Executivos com poder de decisão relevante, acesso a contratos significativos ou influência sobre terceiros representam um risco ampliado para a organização.

2. Finalidade clara e específica
O objetivo não pode ser genérico. Deve estar diretamente ligado à prevenção de fraude, corrupção ou conflito de interesse.

3. Transparência total
O colaborador precisa saber, desde o início, quais dados poderão ser solicitados, em que circunstâncias e para qual finalidade.

4. Proporcionalidade da medida
Aqui está o ponto central: o nível de invasividade deve ser compatível com o risco. Solicitar extratos bancários, por exemplo, é uma medida extrema – e só se justifica em contextos igualmente extremos.

5. Estrutura robusta de governança
Essas informações não podem circular livremente. Devem ter acesso restrito, controle rigoroso e finalidade delimitada.

Vida privada x risco corporativo: onde está o limite?

Esse é, provavelmente, o ponto mais sensível de todo o debate.
A vida privada do colaborador, em regra, não deve ser objeto de ingerência da empresa.

Mas essa regra não é absoluta.
O que importa não é onde o comportamento ocorre, mas se ele projeta risco sobre a atividade exercida.

Em funções críticas, determinados comportamentos fora do ambiente de trabalho podem ter impacto direto na operação.

Exemplos são claros:

• profissionais que operam equipamentos ou transportam pessoas;
• executivos com poder de decisão financeira;
• cargos que exigem alto grau de confiança e integridade.

Nesses casos, a empresa não está julgando a vida privada — está avaliando o risco que ela pode gerar para o negócio.

Monitoramento de colaboradores: O que definitivamente não pode ser feito

Se por um lado há espaço para monitoramento, por outro existem limites claros que não podem ser ultrapassados.

Entre eles:

• acesso a redes sociais privadas ou mensagens pessoais;
• exigência de senhas ou acesso a contas particulares;
• monitoramento clandestino;
• coleta de dados sem finalidade definida.

Essas práticas não apenas violam a legislação, como expõem a empresa a riscos relevantes de condenação em litígios trabalhistas.

Monitoramento em setores regulados: o exemplo da indústria farmacêutica

A discussão sobre monitoramento comportamental muitas vezes parece excessivamente teórica — até que se observa como determinados setores já operam há anos com controles rigorosos.

A indústria farmacêutica é um exemplo claro. Nesse setor, representantes comerciais frequentemente recebem amostras de medicamentos, materiais promocionais e acesso direto a profissionais de saúde. Esses elementos, por si só, já representam um vetor relevante de risco — regulatório, reputacional e até penal.

Por isso, empresas do setor adotam mecanismos estruturados de controle, como:

• rastreabilidade de amostras distribuídas;
• registro de visitas e interações com médicos;
• limitação de brindes e benefícios;
• auditorias periódicas sobre conduta comercial.

Em muitos casos, há inclusive monitoramento indireto sobre:

• frequência de visitas;
• padrão de relacionamento com determinados profissionais;
• inconsistências entre registros e resultados.

Aqui, o ponto é claro: não se monitora a pessoa em si, monitora-se o risco associado à função que ela exerce.
O que a indústria farmacêutica demonstra, na prática, é que o monitoramento comportamental já é uma realidade consolidada quando:

• há risco regulatório relevante;
• existe potencial de desvio de conduta;
• o comportamento individual pode gerar impacto coletivo.

Essa lógica pode — e deve — ser transposta para outros setores.

Assim como o representante farmacêutico é monitorado em relação ao uso de medicamentos e à sua interação com terceiros, outros profissionais podem ser acompanhados em relação a:

• decisões financeiras;
• relações comerciais;
• uso de ativos da empresa;
• condutas em contextos críticos (como períodos de prontidão).

O exemplo extremo: o caso do piloto da LATAM Airlines

Sem entrar no mérito das acusações, o caso é útil como reflexão.
Imagine um cenário hipotético em que um profissional, durante o período em que está em solo, em regime de prontidão ou em local de repouso disponibilizado pela própria empresa — e, nessas condições, adota comportamentos incompatíveis com a função que exerce.

A pergunta que se impõe não é apenas jurídica, mas também de gestão de risco: a empresa deve ignorar completamente esse comportamento por ocorrer fora da execução direta da atividade?

Ou, de forma mais técnica: esse comportamento projeta risco sobre a atividade desempenhada?
Se a resposta for positiva, a omissão também passa a ser um risco.

Conexão entre o padrão da indústria farmacêutica com o exemplo do piloto: o contexto define o risco.
Se na indústria farmacêutica o foco está na rastreabilidade e na conduta comercial, em setores como aviação o foco recai sobre outro elemento: a segurança operacional.

Retomando o exemplo do piloto da LATAM Airlines, a reflexão ganha ainda mais clareza quando comparada a setores regulados.

Se um representante farmacêutico é monitorado quanto ao destino de uma amostra de medicamento, por que um piloto — cuja atividade envolve risco direto à vida de terceiros — não poderia estar sujeito a mecanismos proporcionais de controle comportamental em períodos críticos?

A resposta não está em ampliar indiscriminadamente o monitoramento, mas em aplicar o mesmo raciocínio: quanto maior o risco associado à função, maior a legitimidade de mecanismos proporcionais de controle.

O elemento comum: previsibilidade do risco.

Tanto no setor farmacêutico quanto no exemplo do piloto, existe um fator comum:

O risco não é abstrato. Ele é previsível.

• desvio de medicamentos → risco regulatório e penal
• conduta inadequada em período de prontidão → risco operacional grave

Quando o risco é previsível, a empresa não apenas pode agir, ela deve agir.

A omissão, nesses casos, deixa de ser neutralidade e passa a ser falha de governança.

Ao conectar diferentes setores, o que se observa é um padrão:

• onde há risco relevante, há monitoramento
• onde há monitoramento estruturado, há prevenção
• onde não há governança, há exposição

No fim, a discussão não é sobre invadir a privacidade do colaborador. É sobre reconhecer que, em determinados contextos, o comportamento individual pode ser determinante para o risco coletivo, e precisa ser tratado como tal.

Conclusão: antecipar comportamento é gerir risco

A evolução do compliance mostra que o risco mais relevante não é aquele que já aconteceu, é aquele que está em formação.
Monitorar comportamento, quando feito com critério, transparência e proporcionalidade, não é violar direitos.
É exercer, de forma responsável, o dever de gestão de risco.

Ao final, talvez uma das perguntas mais importantes:
O que é mais arriscado para a empresa? Monitorar de forma estruturada ou ignorar sinais que já estão presentes?

E na sua empresa? O comportamento dos colaboradores já é monitorado? Este monitoramento está adequado para a gestão de riscos?

FAQ: