LGPD no treinamento corporativo: o checklist que ninguém te dá

Todo mundo pensa na LGPD para o marketing e o cadastro de clientes. Quase ninguém pensa nela no treinamento — e é aí que mora um risco silencioso. No momento em que você coloca a equipe para estudar num LMS, passa a coletar dados pessoais: nome, CPF, cargo, notas, tempo de estudo, o que cada um concluiu, quem reprovou. Isso é tratamento de dado sob a Lei 13.709/2018 (LGPD), fiscalizada pela ANPD. Abaixo, o checklist prático que separa um projeto tranquilo de uma dor de cabeça.

Por que o treinamento é dado pessoal (e às vezes sensível)

Notas, progresso e certificados são dados pessoais comuns. Mas cuidado: alguns treinamentos tocam em dados sensíveis — um curso de saúde ocupacional, um treinamento de acessibilidade que revela uma deficiência, um canal de denúncias. Dado sensível tem regra mais rígida na LGPD. Ou seja: o "sisteminha de cursos" pode estar guardando informação que exige o mesmo cuidado do RH.

O checklist — 7 pontos para rodar antes de treinar

1. Qual a sua base legal?

Você não precisa (e muitas vezes não deve) pedir "consentimento" para treinar um colaborador. Treinamento obrigatório costuma se apoiar em obrigação legal/regulatória (uma NR, por exemplo) ou no legítimo interesse / execução do contrato de trabalho. Definir a base certa evita o erro clássico de pedir consentimento para algo que o funcionário não pode, na prática, recusar.

2. Minimização: você só coleta o necessário?

A LGPD manda coletar o mínimo. Seu LMS pede CPF quando bastaria matrícula? Guarda endereço, foto, telefone pessoal "por garantia"? Cada campo a mais é risco a mais. Um bom setup começa enxuto.

3. Quem acessa as notas e relatórios?

Num LMS bem configurado, um gestor vê a equipe dele — não a empresa inteira. Perfis e permissões existem para isso. Se hoje "todo mundo que é admin vê tudo", você tem um problema de controle de acesso esperando para acontecer.

4. Por quanto tempo você guarda os dados?

Dado não é para guardar "para sempre". Você precisa de uma política de retenção: o certificado de uma NR tem prazo de validade e faz sentido manter; o histórico de cliques de um ex-funcionário de três anos atrás, talvez não. Definir o descarte é parte da conformidade.

5. Onde ficam fisicamente os dados?

Esse é o ponto que a maioria ignora. Se o seu LMS é um SaaS estrangeiro, os dados dos seus colaboradores podem estar num servidor fora do Brasil — o que aciona as regras de transferência internacional da LGPD. Hospedar no Brasil (ou num servidor sob seu controle) simplifica muita coisa. Tratamos disso em onde hospedar o LMS.

6. E a IA? Para onde vai o texto que ela processa?

Recurso de IA que resume conteúdo ou gera questão pode enviar dados a terceiros. Se esse texto contém informação interna ou de pessoas, é tratamento de dado saindo da sua casa. É por isso que a IA que roda localmente (como a nativa do Moodle 5 via Ollama) virou argumento de compliance — veja IA no treinamento sem entregar seus dados.

7. Você consegue atender um pedido do titular?

Um colaborador pode pedir acesso aos seus dados, correção ou (nos limites da lei) exclusão. A pergunta prática: o seu LMS deixa você localizar, exportar e apagar os dados de uma pessoa sem virar um projeto? Se a resposta é "não sei", esse é o primeiro item a resolver.

A boa notícia

Nada disso pede tecnologia exótica — pede configuração correta e escolhas conscientes de onde os dados moram. Plataformas abertas como o Moodle dão o controle fino (perfis, permissões, retenção, hospedagem no Brasil, IA local) para fazer certo; plataformas fechadas às vezes tiram esse controle de você. Não somos advogados e este texto não é parecer jurídico — mas montamos o ambiente já pensando nesses sete pontos, e apontamos onde o seu caso precisa de um especialista em proteção de dados.

Referências: Lei nº 13.709/2018 (LGPD) e orientações da Autoridade Nacional de Proteção de Dados (ANPD). Este conteúdo é informativo e não substitui aconselhamento jurídico. Consulta: setembro de 2026.