NR-01 Psicossocial e Sigilo de Dados de Saude Mental: SRQ-20 Nominal x Agregado

TL;DR: A NR-01 exige gerir os riscos psicossociais dentro do PGR — e desde 26 de maio de 2026 a fiscalização é punitiva. Mas a norma pede gestão organizacional do risco coletivo, não diagnóstico individual. Por isso, aplicar um instrumento como o SRQ-20 de forma nominal e deixar o resultado individual chegar ao RH é expor dado de saúde mental sensível: quebra de sigilo. A saída é manter o individual clínico, com o médico, e levar ao PGR apenas o dado agregado e anonimizado.

Com a obrigação psicossocial da NR-01 já em fase de fiscalização, muitas empresas correram para “medir a saúde mental” dos trabalhadores — e criaram, sem perceber, um passivo de sigilo. O erro não está em avaliar o risco psicossocial; está em confundir avaliar o risco do ambiente com rastrear o diagnóstico das pessoas, e em deixar esse dado íntimo circular pela gestão. Este artigo mostra a diferença que define tudo: aplicação nominal versus agregada.

Se quiser a base sobre sigilo antes de seguir, veja o pilar: Sigilo médico ocupacional: a regra, as exceções e quem responde.

O que a NR-01 passou a exigir — e desde quando

A NR-01 foi atualizada para incluir expressamente os fatores de risco psicossocial no Gerenciamento de Riscos Ocupacionais (GRO) e no Programa de Gerenciamento de Riscos (PGR). A obrigação foi introduzida pela Portaria MTE nº 1.419/2024 e teve o prazo prorrogado pela Portaria MTE nº 765/2025 para 26 de maio de 2026 — data em que terminou o período orientativo e começou a fiscalização com potencial de autuação e multa.

Na prática, isso significa que a empresa precisa identificar, avaliar e controlar os fatores psicossociais — sobrecarga, metas abusivas, assédio, violência, relações de trabalho adoecedoras — e documentar tudo no inventário de riscos do PGR, com plano de ação. Vale um alerta adicional: o Ministério Público do Trabalho (MPT) não está atrelado a esse cronograma e já investiga o ambiente psíquico do trabalho com base na Constituição, na CLT e nas normas vigentes.

O ponto que quase ninguém vê: gestão coletiva, não diagnóstico

Aqui está a distinção que separa a conformidade da exposição: a NR-01 pede gestão organizacional do risco. Ela não exige — nem autoriza — que a empresa produza um diagnóstico clínico de cada trabalhador. O foco é o ambiente e a organização do trabalho, não o prontuário psíquico das pessoas.

Essa diferença tem uma consequência direta sobre o sigilo. O dado que a empresa precisa gerenciar é o retrato coletivo do risco: quais áreas, turnos ou funções concentram sinais de adoecimento. Esse retrato não exige identificar ninguém. No momento em que a avaliação vira uma lista nominal de quem “pontuou alto” em saúde mental, saímos da gestão de risco e entramos no território do dado sensível individual — que a empresa não pode acessar.

O que é o SRQ-20 e por que ele é dado sensível

O SRQ-20 (Self-Reporting Questionnaire) é um instrumento de triagem com 20 perguntas de resposta sim/não, validado no Brasil, usado para rastrear sinais de transtornos mentais comuns, como ansiedade e sintomas depressivos.

Dois pontos precisam ficar claros:

• Triagem não é diagnóstico. Uma pontuação elevada indica que vale uma avaliação mais cuidadosa — não carimba a pessoa com uma doença.
• O resultado individual é dado pessoal sensível. Informação sobre a saúde mental de alguém está no rol de dados sensíveis da LGPD (art. 11) e, quando produzida em contexto de saúde, é coberta pelo sigilo médico.

Nominal x agregado: a diferença que define o sigilo

A mesma pergunta muda de natureza conforme identifica — ou não — a pessoa.

Aplicação nominal. O resultado tem nome e sobrenome. Ele é dado de saúde mental de um indivíduo, portanto dado pessoal sensível (LGPD, art. 11) e coberto pelo sigilo médico. Esse resultado fica com o médico. Nunca deve chegar ao RH ou ao gestor. Uma planilha nominal de pontuações circulando na gestão é uma quebra de sigilo — e, pior, uma base para discriminação e retaliação.

Aplicação agregada. Os resultados são somados e anonimizados. O que sobra é o risco do grupo, não da pessoa: “a área X concentra sinais de sobrecarga”, “o turno da noite tem indicadores piores”. Sem titular identificável, não há sigilo em risco — e esse é exatamente o insumo que alimenta o PGR e a gestão coletiva. É o que a NR-01 quer ver.

A regra de ouro: o gestor recebe o mapa do risco do grupo, nunca a pontuação de saúde mental de uma pessoa.

Quando a aplicação nominal é legítima — e como blindar

Existe um uso nominal legítimo — mas ele vive dentro do cuidado clínico, não da gestão. Quando um trabalhador pontua em faixa de atenção, faz sentido que o médico saiba quem é, para oferecer acolhimento, orientação e encaminhamento. Isso é assistência à saúde, e a base legal na LGPD é a tutela da saúde por profissional de saúde (art. 11).

O que blinda esse uso:

• O resultado individual permanece no prontuário, sob sigilo, com o médico como guardião.
• Para o PGR e a empresa segue apenas o agregado anonimizado.
• O acolhimento é voluntário e não punitivo — jamais insumo para decisão de gestão (promoção, demissão, alocação).
• Base legal, finalidade e fluxo de acesso ficam documentados (governança LGPD), com o DPO acompanhando metadados de acesso, não o conteúdo.

O fluxo correto do dado psicossocial

O desenho que concilia NR-01 e sigilo é simples: o trabalhador responde ao SRQ-20 (triagem); o médico retém o resultado individual, sob sigilo; a partir dali, dois caminhos separados — o dado anonimizado e agregado alimenta o PGR e a gestão coletiva (SESMT, CIPA, liderança); e o indivíduo em risco recebe acolhimento e encaminhamento clínico, nunca punição, nunca repasse ao RH.

Repare que os dois caminhos nunca se cruzam na direção da gestão: a empresa enxerga o risco do grupo, o médico cuida da pessoa.

Erros mais comuns

• Planilha nominal para o RH. Aplicar o SRQ-20 com nome e enviar as pontuações para a gestão. É o erro mais grave: dado sensível exposto, com risco de discriminação.
• Triagem tratada como diagnóstico. Rotular a pessoa a partir de um questionário de rastreamento, sem avaliação clínica.
• Resultado como critério de gestão. Usar a pontuação para decisões de promoção, alocação ou desligamento.
• Dado sensível em sistema aberto. Guardar respostas identificadas em planilhas ou sistemas administrativos sem controle de acesso.
• “Compliance de fachada”. Coletar dado nominal achando que isso é o que a NR-01 pede. Não é: a norma quer gestão do risco coletivo.

Boas práticas: checklist

• Trate o resultado individual como dado sensível sob sigilo, guardado pelo médico.
• Leve ao PGR apenas o dado agregado e anonimizado.
• Separe fisicamente e por perfil o acesso clínico do administrativo.
• Garanta que o acolhimento seja voluntário e não punitivo.
• Documente base legal, finalidade e fluxo (governança LGPD).
• Integre o resultado ao PGR e ao PCMSO como gestão de risco — não como registro de doenças.

Perguntas frequentes (FAQ)

A NR-01 obriga a empresa a diagnosticar a saúde mental dos funcionários?
Não. A NR-01 exige gerir os fatores de risco psicossocial no PGR, de forma organizacional. Ela não pede diagnóstico clínico individual.

O RH pode ver o resultado do SRQ-20 de cada colaborador?
Não. O resultado individual é dado sensível sob sigilo médico. Para a gestão vai apenas o dado agregado e anonimizado.

Então o SRQ-20 nominal é sempre proibido?
Não. A aplicação nominal é legítima no cuidado clínico. O que não pode é esse dado individual sair do âmbito clínico e chegar à gestão.

Coletar mais dados nominais deixa a empresa mais “em conformidade” com a NR-01?
Não. A conformidade está na gestão do risco coletivo documentada no PGR. Coleta nominal excessiva aumenta o passivo de proteção de dados.

Conclusão

A NR-01 psicossocial e o sigilo não estão em conflito — eles apontam para o mesmo desenho. A norma quer que a empresa enxergue e trate o risco do ambiente; o sigilo garante que ela faça isso sem devassar a mente de cada trabalhador. A chave é o nível do dado: individual permanece clínico, coletivo anonimizado vira gestão.

O Grupo Bplan estrutura a avaliação de risco psicossocial com o SRQ-20 integrada ao PGR e ao PCMSO, com o fluxo de dados desenhado para separar o cuidado individual da gestão coletiva. Fale com nossa equipe técnica e avalie como sua empresa trata os dados de saúde mental.

No último artigo da série, transformamos tudo isso em ferramenta de verificação: o checklist dos furos mais comuns de sigilo e como uma auditoria os expõe.

Conteúdo produzido pela equipe técnica do Grupo Bplan — consultoria de Saúde Ocupacional e Segurança do Trabalho. Material informativo; não substitui orientação jurídica ou médica individualizada.

Fontes: NR-01 — Portaria MTE nº 1.419/2024 e Portaria MTE nº 765/2025; Guia de Fatores de Risco Psicossocial Relacionados ao Trabalho (FRPRT/MTE); LGPD — Lei nº 13.709/2018 (art. 11); NR-07 (PCMSO); Código de Ética Médica — Resolução CFM nº 2.217/2018; atuação do Ministério Público do Trabalho (MPT).

Este artigo trata de gestão de dados e conformidade. Se você ou alguém precisa de apoio em saúde mental, procure um profissional de saúde; em situação de crise no Brasil, o CVV atende no 188.