O TRF-3 confirmou a obrigação de publicar dados de remuneração; o que quase ninguém documentou foi o risco de reidentificação por trás da planilha.

O processo silencioso que ninguém vê

Existe um arquivo que sai do RH duas vezes por ano e atravessa a organização inteira sem que ninguém pergunte quem respondeu por ele. Ele nasce em uma extração da folha de pagamento, passa por uma planilha intermediária, recebe um agrupamento por cargo e por sexo, é conferido pelo jurídico em quinze minutos e termina publicado em um endereço institucional, aberto para qualquer pessoa do mundo, indexável por buscadores e replicável por qualquer concorrente.

É o Relatório de Transparência Salarial e de Critérios Remuneratórios, exigido de todo estabelecimento com cem empregados ou mais pela Lei 14.611/2023, regulamentada pelo Decreto 11.795/2023 e pela Portaria MTE 3.714/2023.

Na maioria das organizações, esse fluxo não tem dono formal. O RH entende que a responsabilidade é do jurídico, porque a origem da obrigação é legal. O jurídico entende que é do RH, porque o dado vem da folha. O Encarregado costuma descobrir a existência do relatório depois que ele já está no ar. E ninguém, em nenhum ponto da cadeia, registrou por escrito a única frase que importaria em uma fiscalização: avaliamos o risco de um trabalhador ser identificado a partir desta publicação, e concluímos que ele é aceitável pelas razões seguintes.

O relatório é publicado. A obrigação trabalhista é cumprida. E a organização segue adiante convencida de que resolveu o assunto, porque a lei diz que os dados são anonimizados. O problema é que a lei diz o que o relatório deve ser, não atesta que o seu relatório ficou assim.

Por que isso é mais grave do que parece

Em 6 de setembro de 2026, a 6ª Turma do Tribunal Regional Federal da 3ª Região julgou dois processos em que empresas pediam para se livrar da obrigação alegando, entre outros fundamentos, violação à proteção de dados pessoais. Por unanimidade, sob relatoria da desembargadora federal Marisa Santos, o colegiado manteve a exigência e afirmou que a Lei 14.611/2023 é compatível com a Constituição Federal e com a LGPD, justamente porque a norma determina que os relatórios sejam elaborados com dados anonimizados.

A leitura apressada dessa decisão é confortável: o tema está pacificado, podemos publicar. A leitura correta é o contrário. O tribunal validou a obrigação apoiado na premissa de que o dado publicado é efetivamente anonimizado. Essa premissa não é um fato automático da planilha; é um resultado técnico que cabe ao controlador produzir e demonstrar.

E aqui a LGPD é explícita. O artigo 5º, inciso III, define dado anonimizado como aquele que perdeu a possibilidade de associação a um indivíduo. O artigo 12 vai além e estabelece que o dado anonimizado deixa de ser dado pessoal, salvo quando o processo de anonimização puder ser revertido com esforços razoáveis. O parágrafo 1º do mesmo artigo determina que a razoabilidade seja aferida por fatores objetivos: custo, tempo, tecnologias disponíveis e uso exclusivo de meios próprios.

Traduzindo para a planilha real: se um estabelecimento tem uma categoria ocupacional com duas mulheres e sete homens, a média de remuneração feminina daquele grupo não protege ninguém. Qualquer colega, qualquer gestor, qualquer pessoa com acesso ao LinkedIn da empresa reconstrói o salário individual por inferência em poucos minutos. O dado formalmente agregado continua sendo, na prática, dado pessoal, e passa a ser dado pessoal publicado espontaneamente pelo próprio controlador.

O risco não para na reidentificação. Ele se combina com os princípios do artigo 6º da LGPD: adequação, necessidade, segurança, prevenção e, sobretudo, responsabilização e prestação de contas, no inciso X. Prestação de contas não significa ter agido bem; significa conseguir demonstrar que agiu bem, com documento datado, critério explícito e responsável identificado. O artigo 38 reforça o ponto ao permitir que a ANPD determine ao controlador a elaboração de relatório de impacto à proteção de dados, inclusive de dados sensíveis.

Some-se a isso o contexto de 2026. A ANPD passou a operar como agência reguladora, ampliou quadro técnico e substituiu a fiscalização puramente reativa por ciclos temáticos de monitoramento. Quando um desses ciclos alcançar a publicação obrigatória de dados derivados da folha, a pergunta do ofício não será se a empresa publicou. Será qual foi o critério de supressão de grupos pequenos, quem decidiu, quando decidiu e com base em qual análise.

Organizações que não têm essa resposta arquivada não têm dez dias úteis para inventá-la. Elas têm dez dias úteis para admitir que ela nunca existiu.

Como o módulo Avaliação de Impacto do PROTEGON resolve

O módulo Avaliação de Impacto (AIPD) do PROTEGON existe para transformar essa decisão invisível em documento rastreável, produzido antes da publicação e não depois do ofício. Ele opera sobre a atividade de tratamento já mapeada, e não sobre uma planilha paralela criada às pressas.

• Formulário estruturado a partir do ROPA: a avaliação puxa finalidade, base legal, categorias de dados, volume de titulares e ciclo de vida diretamente da atividade mapeada, sem redigitação e sem divergência entre o que o inventário diz e o que a avaliação afirma.
• Cenários de risco com matriz de probabilidade e impacto: o cenário de reidentificação por inferência em grupos pequenos é avaliado explicitamente, com registro do critério numérico de corte adotado, do limiar mínimo de agrupamento e da justificativa técnica que sustenta esse limiar.
• Responsável nomeado e trilha de auditoria: cada avaliação tem autor, revisor, data, versão e histórico de alterações preservados, de modo que a organização consegue demonstrar quando a decisão foi tomada e por quem, e não apenas qual foi a decisão.
• Plano de tratamento vinculado a tarefas: as medidas de mitigação (supressão de faixas, agregação em categorias superiores, revisão do texto de divulgação) viram tarefas com prazo e responsável, acompanhadas dentro da própria plataforma até a conclusão.
• Reavaliação periódica programada: como o relatório é semestral e o quadro de pessoal muda, o módulo dispara nova análise a cada ciclo, impedindo que uma avaliação feita em um cenário de mil empregados continue valendo para um cenário de duzentos.
• Documento pronto para instruir resposta: ao final, o módulo gera o relatório de impacto em formato de entrega, com fundamentação legal citada, apto a ser anexado a uma resposta de ofício sem trabalho de reconstrução.

Complementarmente, o módulo Mapeamento de Dados sustenta o inventário que alimenta a avaliação, e o módulo Gestão de Riscos consolida o risco residual dessa publicação na matriz corporativa, ao lado dos demais riscos do programa de privacidade.

Do caos para a previsibilidade

O contraste entre os dois cenários é operacional antes de ser jurídico.

No cenário atual da maioria das organizações, a chegada de um ofício sobre a publicação salarial abre uma escavação. É preciso descobrir quem gerou a extração, encontrar a versão da planilha efetivamente publicada, reconstituir de memória por que determinados grupos foram mantidos e outros suprimidos, e produzir às pressas uma justificativa que precisa parecer anterior ao questionamento. Boa parte do prazo de resposta, em experiências desse tipo, costuma ser consumida apenas nessa arqueologia interna, e não na argumentação técnica que de fato interessa.

No cenário com avaliação de impacto estruturada, a resposta muda de natureza. O Encarregado abre a atividade, localiza a avaliação vigente, exporta o documento com data e responsável, anexa o plano de tratamento com as medidas já implementadas e responde em horas. A conversa com a autoridade deixa de ser sobre omissão e passa a ser sobre método.

Há um ganho menos visível e mais valioso. Quando a avaliação é feita antes, ela frequentemente muda a publicação. Grupos pequenos são consolidados em categorias superiores, faixas substituem valores exatos, o texto explicativo passa a esclarecer o critério adotado. O relatório continua cumprindo a Lei 14.611/2023 e deixa de expor o trabalhador. Conformidade trabalhista e conformidade em proteção de dados param de brigar entre si.

Próximo passo

Sua organização publicou o Relatório de Transparência Salarial no último ciclo. A pergunta não é essa. A pergunta é: existe hoje, arquivado e datado, um documento que registre quem avaliou o risco de reidentificação daquele arquivo, qual critério de agrupamento mínimo foi adotado e por qual razão técnica ele foi considerado suficiente?

Se a resposta depender da memória de alguém, a decisão foi tomada, mas nunca foi documentada. E, para efeito do artigo 6º, inciso X, da LGPD, uma decisão que não pode ser demonstrada equivale a uma decisão que não foi tomada.