LGPD em operações offshore: dados de quem embarca

Em operações offshore, cada informação de quem embarca deve chegar a quem precisa usá-la para uma tarefa definida. A mobilização organiza a escala e confere pendências; os responsáveis pela segurança acompanham as comprovações pertinentes; informações clínicas ficam em fluxo restrito. Organizar esses destinatários permite aplicar a Lei Geral de Proteção de Dados Pessoais (LGPD) sem retirar controles necessários à segurança da plataforma.

A pergunta para revisar um formulário é concreta: qual decisão depende deste campo? Nome, contato de emergência, certificado e informação de aptidão têm usos diferentes. Reuni-los em uma planilha acessível a todos mistura necessidades que deveriam ser avaliadas separadamente. O princípio da necessidade limita o tratamento aos dados pertinentes e não excessivos para cada finalidade (art. 6º).[6]

Como distribuir acessos nas operações offshore

A mobilização nas operações offshore acompanha o trabalhador desde a indicação pela empregadora até o desembarque da plataforma. A gestão do histórico profissional da tripulação pelo armador pertence a outro processo. Mesmo quando há destinatários em comum, os dados e as decisões não são intercambiáveis.

Uma proposta para operações offshore é designar quem valida cada informação e quem apenas recebe o resultado dessa validação. A equipe de recursos humanos (RH) pode manter o cadastro funcional, enquanto mobilização acompanha datas e pendências. Segurança, meio ambiente e saúde (SMS) participa conforme suas atribuições; pertencer à mesma área não justifica acesso indistinto a informações médicas.

No desenho de acesso para operações offshore, separe consulta, alteração e exportação. Quem corrige a escala pode precisar consultar uma confirmação de treinamento sem baixar todos os certificados. Recomenda-se registrar as permissões e testar uma conta de cada perfil antes de liberar o fluxo.

Também convém escolher uma versão de referência da escala. Se uma substituição ocorrer, registre quem a confirmou e quais destinatários receberam a atualização. Isso evita usar uma lista antiga para decidir acesso ou acionar familiares.

Do pedido de embarque à chegada a bordo

O quadro abaixo é uma proposta de trabalho para operações offshore, adaptável aos requisitos efetivamente aplicáveis. Ele não define uma lista universal de documentos obrigatórios. Preencha uma linha adicional sempre que houver um novo destinatário ou uso.

Momento	Informação a avaliar	Quem consulta	Decisão e controle propostos
Indicação do trabalhador	Identificação, função e período previsto	Empregadora e mobilização autorizada	Confirmar a pessoa indicada; evitar dossiê funcional completo
Conferência de treinamento	Comprovação pertinente à atividade	Validador designado e responsáveis pela segurança	Conferir evidência e registrar situação, origem e data da conferência
Verificação de aptidão, quando cabível	Informação estritamente necessária à decisão	Profissionais responsáveis e destinatário operacional autorizado	Definir acesso restrito sem distribuir exames ou diagnóstico
Organização da escala	Nome, destino, datas e situação da mobilização	Planejamento e equipe operacional correspondente	Publicar versão atual sem dados clínicos ou familiares
Preparação para emergência	Nome e telefone do contato indicado	Equipe designada para acionamento	Permitir consulta rápida no procedimento previsto
Chegada à plataforma	Registro pertinente de presença e instruções	Responsáveis pela atividade e pela guarda	Conferir realização e evitar circulação indiscriminada da lista
Desembarque	Saída confirmada e permissões relacionadas	Mobilização e administradores de acesso	Encerrar permissões temporárias e avaliar guarda por categoria

Em operações offshore, cada passagem do quadro merece uma pergunta adicional: o destinatário precisa do documento inteiro ou de uma comprovação confiável? Uma consulta restrita ao original pode ser adequada quando houver necessidade de conferir autenticidade. Uma confirmação isolada pode ser insuficiente se ocultar informação essencial. A escolha precisa preservar o controle de segurança.

Quando o canal principal estiver indisponível, recomenda-se uma alternativa previamente aprovada, com destinatários identificados. Um procedimento de contingência deve prever também como reconciliar as informações depois, para que anexos locais não virem cadastros permanentes paralelos.

Treinamento registrado não significa lista aberta

A Norma Regulamentadora nº 37 (NR-37) prevê, no item 37.9.4, lista de presença para cada treinamento presencial, com identificação do curso, conteúdo, data, local, carga horária, nomes e assinaturas dos participantes, além da identificação e qualificação do instrutor.[7] No item 37.9.6.2.1, prevê instruções gerais, chamadas de briefing, ministradas pela operadora da instalação a cada embarque, na chegada a bordo, com registro em lista de presença.[7]

A guarda e o uso desses registros nas operações offshore também precisam observar finalidade, necessidade e segurança (art. 6º).[6] Recomenda-se manter o registro íntegro no repositório apropriado e definir quais equipes precisam consultar a evidência, em vez de anexá-la automaticamente a todas as mensagens sobre o embarque.

Se alguém solicitar a lista completa, peça a finalidade e confirme o perfil de acesso. Não substitua um registro exigido por uma evidência insuficiente apenas para reduzir dados. Ajuste a circulação, preservando o conteúdo necessário ao cumprimento da exigência.

Saúde, emergência e a base de cada uso

Para operações offshore, a informação de aptidão merece um tratamento próprio. Ela pode revelar condição de saúde mesmo sem diagnóstico, e dados de saúde são sensíveis na LGPD (arts. 5º e 11).[6] A necessidade de decidir sobre uma mobilização não equivale à necessidade de receber prontuário integral.

Recomenda-se que os profissionais responsáveis definam qual informação pode chegar à decisão operacional e por qual canal. O gestor de escala não deveria interpretar exames. Se houver uma pendência, o fluxo proposto encaminha a questão à área competente, sem expor o motivo clínico ao grupo de embarque.

A base legal deve corresponder à operação realizada. Consentimento não é solução universal, e autorizações genéricas são nulas (arts. 7º, 8º e 11).[6] O contrato entre operadora e prestadora, por si só, não enquadra os dados do trabalhador na hipótese de execução contratual do art. 7º, V: ela se refere a contrato do qual o titular seja parte ou aos procedimentos preliminares relacionados previstos nesse dispositivo.[6]

Quando se avaliar legítimo interesse para dados comuns, a orientação da Agência Nacional de Proteção de Dados (ANPD) organiza o teste em finalidade, necessidade, balanceamento e salvaguardas.[4] Essa hipótese não se aplica a dados sensíveis.[4] Tutela da saúde também tem condições específicas: é restrita a procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (arts. 7º e 11).[6]

O contato de emergência é outra pessoa cujos dados entram no fluxo. Para operações offshore, recomenda-se explicar seu uso, coletar apenas o necessário ao acionamento e prever atualização. Nome e telefone desse contato não precisam acompanhar a escala enviada a todas as equipes. A finalidade e o compartilhamento devem ser transparentes (art. 9º).[6]

Exemplo hipotético: substituição perto do embarque

Considere uma situação hipotética de operações offshore: uma prestadora substitui um trabalhador e envia à mobilização uma pasta com certificados, exames e contatos familiares. A equipe precisa conferir pendências, mas a pasta está disponível para todo o grupo de planejamento.

A decisão proposta é restringir o acesso imediatamente e separar as verificações. Mobilização confirma identidade e escala; o validador confere treinamento; a área competente recebe a questão de aptidão pelo canal apropriado. A pessoa responsável pela segurança mantém a decisão sobre liberação conforme os requisitos aplicáveis, sem aceitar o envio da pasta como prova suficiente.

A consequência prática é que a substituição pode exigir nova conferência e permanecer pendente até sua conclusão. O responsável por privacidade avalia a exposição já ocorrida, enquanto tecnologia verifica acessos e preserva os registros pertinentes. Se houver incidente, a avaliação de comunicação deve observar as regras e os prazos aplicáveis, sem esperar o encerramento da investigação (art. 48).[6]

O desembarque muda os acessos, não resolve toda a guarda

Nas operações offshore, recomenda-se vincular permissões temporárias ao período e à função que as justificam. A saída confirmada deve alimentar a revisão dessas permissões. Uma conta que continua ativa pode permitir consulta a escalas futuras sem relação com a atividade encerrada.

A guarda documental exige avaliação separada. O término da finalidade e as hipóteses de conservação previstas na LGPD precisam ser considerados; não existe um prazo único aplicável a todo cadastro de embarque (arts. 15 e 16).[6] Registre por categoria a finalidade remanescente, a justificativa de conservação e quem revisará o prazo correspondente.

Para operações offshore, é útil distinguir o arquivo de comprovação das cópias de trabalho. Uma obrigação de conservar determinado registro não justifica manter todas as cópias em caixas de e-mail ou pastas compartilhadas. Se um trabalhador pedir correção, o art. 18 também disciplina a comunicação aos agentes com quem houve compartilhamento, com as ressalvas previstas na lei.[6]

Como a TOGETHER apoia a mobilização

A metodologia da TOGETHER Privacy & Tech começa pelo data mapping, o mapeamento de como os dados são coletados, usados, guardados e compartilhados. Nas operações offshore, o ponto de partida pode ser acompanhar uma mobilização real, ouvir os responsáveis e relacionar cada campo aos sistemas e destinatários envolvidos.

Esse levantamento direciona tempo e recursos: permite priorizar uma pasta médica exposta antes de revisar um formulário de menor risco. Riscos urgentes e obrigações com prazo não aguardam a conclusão de todo o mapa. O plano de adequação à LGPD ajuda a conectar as correções do fluxo à gestão do programa.

A consultoria em LGPD pode apoiar a revisão de formulários, bases legais, contratos e perfis de acesso. O DPO as a Service, serviço de encarregado de proteção de dados, pode dar continuidade à orientação das equipes e ao encaminhamento de solicitações de titulares, sem transferir as responsabilidades do controlador.

Para revisar suas operações offshore, converse com a TOGETHER sobre um fluxo de mobilização que hoje dependa de planilhas ou anexos. Leve os modelos sem dados reais e identifique quem solicita, confere e recebe cada informação.

Perguntas frequentes

A escala pode incluir o motivo médico de uma pendência?

A recomendação é separar a pendência operacional da informação clínica. Em operações offshore, indique quem deve resolver a questão sem expor diagnóstico ao planejamento. O acesso a dados de saúde exige finalidade, necessidade e uma hipótese adequada do art. 11.[6]

A NR-37 exige registrar o briefing em todo embarque?

O item 37.9.6.2.1 prevê instruções gerais pela operadora da instalação por ocasião de cada embarque, ao chegar a bordo, consignadas em lista de presença.[7] Organize a guarda e os acessos desse registro sem presumir que ele deve circular junto de todo documento de mobilização.

O telefone de emergência deve ficar na lista geral?

Recomenda-se disponibilizá-lo à equipe responsável pelo acionamento, com procedimento que permita acesso quando necessário. A lista geral de planejamento não precisa reproduzir esse dado se não houver finalidade correspondente. Necessidade e segurança orientam essa avaliação (art. 6º).[6]

Quem define o papel da operadora e da prestadora na LGPD?

A análise considera quem decide sobre cada tratamento e quem atua em nome de outro, conforme as definições de controlador e operador (art. 5º).[6] O nome da relação comercial não resolve todos os fluxos. Registre as decisões e confira se o contrato reflete a atuação efetiva.

É preciso apagar tudo depois do desembarque?

Não. Encerre acessos sem necessidade operacional e avalie os registros por finalidade, hipóteses de conservação e situações jurídicas documentadas. Eliminação e conservação seguem condições distintas na LGPD (arts. 15, 16 e 18).[6] O desembarque, isoladamente, não define o destino de todos os documentos.