TST: atestados sem CID e exigência prevista em norma coletiva

A 5ª Turma do Tribunal Superior do Trabalho decidiu que faltas aplicadas a empregada por apresentação de atestados médicos sem indicação do CID, quando a exigência está prevista em norma coletiva, não ensejam automaticamente indenização por violação de intimidade ou tratamento ilícito de dados. A decisão valida, na hipótese apreciada, a compatibilização entre a exigência normativa e as disposições da Lei Geral de Proteção de Dados (LGPD).

Contexto

A controvérsia surge na interseção entre o poder-dever do empregador de verificar a justificativa das ausências do empregado e a proteção da intimidade e dos dados de saúde, cuja especial proteção foi reforçada após a edição da LGPD (Lei 13.709/2018). No âmbito trabalhista, é prática consolidada que empregadores demandem comprovação médica para justificar faltas; contudo, a exigência de que o atestado contenha o código da doença (CID) tem gerado questionamentos quanto à razoabilidade e à compatibilidade com a proteção da vida privada e da saúde. A discussão ganha relevo quando a obrigação decorre não de ato unilateral do empregador, mas de cláusula de acordo ou convenção coletiva, o que envolve a autonomia coletiva e a regulação normativa das condições de trabalho.

Historicamente, a jurisprudência trabalhista tem ponderado entre a necessidade de o empregador apurar o motivo da ausência — para preservar os limites do instituto de faltas e afastar fraudes — e os direitos do trabalhador à confidencialidade de informações sensíveis. A LGPD passou a oferecer um quadro normativo novo, com princípios como minimização e finalidade, e regras específicas sobre tratamento de dados sensíveis, o que impõe uma nova lente interpretativa sobre exigências documentais de saúde.

O que foi decidido

A turma entendeu que, na hipótese concreta, a previsão convencional que exige a indicação do CID nos atestados como condição para abonar faltas não configura, por si só, violação à intimidade nem tratamento ilegal de dados. O fundamento central assentou-se na compatibilização entre a regra coletiva e os princípios da LGPD, observando-se que a exigência tem finalidade legítima (verificação do direito ao abono/estabilidade ou afastamento), é revestida de proporcionalidade e foi pactuada entre as partes coletivas. Assim, a aplicação de faltas em razão de atestados sem CID, nos termos da norma coletiva, não gerou direito à indenização pleiteada pela empregada.

A decisão destacou, implicitamente, que o tratamento de informação sobre saúde em contexto laboral pode ser licito quando há base jurídica adequada e quando respeitados os princípios da LGPD, inclusive limitação da finalidade, necessidade e segurança.

Base normativa e precedentes

• Art. 5º, CF/88 — proteção à intimidade e à vida privada; fundamento constitucional da controvérsia.
• Art. 7º, CF/88 — direitos dos trabalhadores, que servem de pano de fundo para a aplicação das regras coletivas.
• CLT (Decreto-Lei 5.452/1943) — regras gerais sobre disciplina e provas relativas à relação de emprego; matriz normativa do direito laboral.
• Lei 13.709/2018 (LGPD) — princípios (Art. 6º) e bases legais (Art. 7º) aplicáveis ao tratamento de dados pessoais, além da disciplina específica sobre dados sensíveis (Art. 11º), que inclui dados de saúde.
• Jurisprudência consolidada do Tribunal Superior do Trabalho — precedentes que admitem a exigência de comprovação de incapacidade e a possibilidade de aplicação de faltas quando a prova apresentada é considerada insuficiente ou fraudulenta.

Impacto prático

• Para empregadores: a decisão reforça que cláusulas de acordos e convenções coletivas podem autorizar a exigência de identificação diagnóstica nos atestados, desde que a medida observe os princípios da LGPD (finalidade, necessidade, minimização) e sejam implementadas salvaguardas de confidencialidade e segurança.
• Para trabalhadores: embora a exigência do CID não seja automaticamente ilícita, a proteção à intimidade e ao sigilo médico não está descartada; cabe avaliar abusos, coleta excessiva ou divulgação indevida dos dados de saúde, circunstâncias que ainda podem ensejar responsabilização e eventual indenização.
• Para advogados trabalhistas: a decisão indica que ações indenizatórias por mera aplicação de faltas, em cenário regulado por norma coletiva, serão mais difíceis de prosperar sem demonstração de tratamento indevido ou violação concreta da LGPD (por exemplo, divulgação de informação sensível ou ausência de medidas de proteção).
• Para sindicatos e negociações coletivas: reforça o papel da negociação coletiva para definir regras de comprovação de ausência; entretanto, impõe cautela na redação das cláusulas, prevendo limites à coleta e regras de tratamento de dados.

O que observar

• Base jurídica do tratamento: empregadores e sindicatos devem fundamentar a exigência em base legal adequada prevista na LGPD (p.ex., cumprimento de obrigação legal ou regulatória, execução de contrato coletivo, ou legítimo interesse ponderado) e documentar essa análise.
• Princípio da minimização: exigir apenas os dados estritamente necessários; quando possível, alternativas menos intrusivas (declaração do profissional de saúde que ateste incapacidade sem detalhar diagnóstico) devem ser consideradas.
• Segurança e confidencialidade: é imprescindível adotar medidas técnicas e administrativas para proteção dos atestados e do CID, limitar acesso e prever políticas de retenção e descarte, sob pena de responsabilização por tratamento indevido.
• Orientação da ANPD e precedentes futuros: a atuação da Autoridade Nacional de Proteção de Dados e decisões de outros tribunais ou turmas podem modular a interpretação, sobretudo quanto à possibilidade de exigência nas diferentes realidades laborais (setores, grau de risco, existência de fraude habitual).
• Recursos e modulação: em processos individuais, ainda há espaço para discutir abuso, proporcionalidade e danos efetivos; interesses coletivos também podem demandar intervenção normativa ou orientação conjunta entre sindicatos e empregadores.

A decisão confirma equilíbrio pragmático entre a necessidade empresarial de fiscalização e a tutela da vida privada, mas impõe que requisitos formais e garantias de proteção de dados sejam observados para evitar responsabilização futura por vazamentos, acesso indevido ou uso desproporcional de informações sensíveis.