Quando alguém muda de cargo dentro de uma empresa, quase tudo é atualizado. Muda o título no organograma, o salário, as metas, as permissões nos sistemas e, muitas vezes, até o notebook. Uma coisa raramente volta a ser olhada com a mesma atenção: se as verificações feitas na admissão continuam adequadas para a função que a pessoa ocupa agora.


Pense em um caso hipotético, mas comum em qualquer empresa média brasileira. Uma profissional entra em 2022 como analista administrativa júnior. A admissão foi correta: identidade, experiência, formação e algumas referências foram verificadas, tudo proporcional a uma função sem acesso a informação sensível nem poder de decisão sobre recursos. Em 2024, ela muda de área. Em 2026, é promovida: passa a aprovar pagamentos, negociar diretamente com fornecedores, ver informações financeiras confidenciais e administrar certos acessos nos sistemas. A empresa atualizou o cargo, o salário, a equipe e as permissões técnicas. A pergunta que quase nunca se formaliza é se também atualizou os controles associados a esse novo nível de risco.


Não há resposta automática nem obrigação legal genérica de repetir uma verificação completa a cada promoção: isso depende do setor, da função e de uma decisão de gestão de riscos, não de um mandato uniforme. Mas a pergunta conceitual continua válida, e a maioria das empresas nunca a colocou no papel.


A verificação como fotografia

O motivo é a forma como o background check foi historicamente pensado: uma fotografia tirada em um momento pontual, antes da contratação, que na prática se presume válida para todo o vínculo. O problema não é a fotografia ter sido mal tirada. É supor que ela continua descrevendo o mesmo risco três, cinco ou dez anos depois, quando a função da pessoa — o que pode autorizar, a que informação tem acesso, quem supervisiona, com quais fornecedores se relaciona, como representa a empresa perante terceiros — mudou por completo.


Segunda atividade não é conflito automático

A isso se soma um segundo eixo, diferente mas relacionado: as atividades profissionais que uma pessoa pode ter fora do emprego principal. Alguém pode dar aulas, ter um negócio próprio, participar de outra sociedade, fazer trabalhos como freelancer ou prestar consultoria, e nenhuma dessas situações é, por si só, um problema.


A legislação brasileira é coerente com isso. A CLT não exige exclusividade como requisito da relação de emprego, e o próprio artigo 138, ao tratar das férias, pressupõe a possibilidade de mais de um contrato de trabalho simultâneo. O que a lei reprime são condutas específicas. O artigo 482 prevê justa causa, entre outras hipóteses, para a "negociação habitual por conta própria ou alheia sem permissão do empregador, e quando constituir ato de concorrência à empresa para a qual trabalha o empregado, ou for prejudicial ao serviço" (alínea c) e para a "violação de segredo da empresa" (alínea g). São hipóteses graves, que exigem prova concreta e que não autorizam, por si só, nenhum tipo de monitoramento preventivo da vida profissional de ninguém.


Um desenvolvedor que faz projetos como freelancer no tempo livre não representa, na maioria dos casos, problema algum. Um responsável por compras com participação societária em uma empresa que passa a aparecer como fornecedora do próprio empregador levanta uma pergunta que merece atenção. A diferença não está em ter uma segunda atividade, mas em saber se ela se cruza de forma concreta com as responsabilidades do cargo. Ter outra atividade é diferente de ter um conflito de interesses, que é diferente de concorrer com o empregador, que é diferente de violar segredo empresarial. São situações que podem se sobrepor, mas que precisam ser analisadas caso a caso, com base na função e em evidências, e não em suspeita genérica.


O limite da LGPD

Do lado da empresa, o limite não é só trabalhista. A LGPD exige que qualquer informação pessoal tratada tenha finalidade legítima e específica, seja compatível com o contexto e se restrinja ao mínimo necessário (art. 6º, I a III), além de garantir ao titular informação clara sobre o tratamento (art. 9º). Aplicado a este tema, o critério para qualquer verificação posterior à admissão não deveria ser "o que podemos descobrir sobre essa pessoa?", e sim "o que mudou na função, que risco novo surgiu com essa mudança e que informação é realmente necessária para avaliá-lo?". A primeira pergunta abre uma exploração sem limites claros; a segunda restringe a verificação ao que a nova responsabilidade justifica.


Essa distinção também separa duas coisas que costumam ser confundidas: revalidar controles quando o risco muda e vigiar permanentemente uma pessoa. O segundo enfoque é invasivo e conceitualmente pobre. O que faz sentido explorar é a reavaliação de determinados controles diante de eventos concretos: promoção a uma posição sensível, poder de aprovar pagamentos, acesso privilegiado a sistemas, responsabilidade sobre fornecedores, ingresso em conselho ou função fiduciária, ou a declaração de um possível conflito de interesses. Nenhum desses eventos autoriza qualquer verificação; a pertinência de cada controle continua dependendo do contexto e do marco legal.


Quando o risco está nos acessos

Um conceito de segurança da informação ilustra bem por que o risco não depende só de quem a pessoa é, mas do que ela pode fazer. É o chamado privilege creep ou access creep: o acúmulo gradual de permissões que ocorre quando alguém muda de função várias vezes e mantém, sem que ninguém perceba, os acessos dos cargos anteriores. Com o tempo, uma pessoa totalmente legítima pode acabar com um nível de acesso desproporcional ao que seu cargo atual exige. A resposta habitual não é suspeitar de quem acumulou os acessos, mas aplicar o princípio do menor privilégio e revisões periódicas, removendo o que sobra. É a mesma lógica que RH e compliance podem aplicar às verificações: não é um julgamento sobre a pessoa, é uma atualização do controle diante de um contexto que mudou.


O que dizem os dados

A prática ainda é minoritária. Uma pesquisa da SHRM, entidade norte-americana de profissionais de recursos humanos, realizada em 2018 com cerca de 6.500 participantes e divulgada em 2019, mostrou que 87% das organizações verificavam antecedentes antes de contratar, mas apenas 15% faziam nova verificação anual, 13% voltavam a verificar diante de eventos específicos, como mudança de função ou promoção, e 4% adotavam monitoramento contínuo. Os números são de outro país e de alguns anos atrás, e não representam o Brasil, mas sugerem que a verificação após a admissão ainda é tratada como exceção, e que o debate sobre um modelo baseado em eventos está em formação.


No Brasil, a discussão é especialmente relevante em setores em que mudanças de função costumam significar saltos reais de risco: serviços financeiros e fintechs, energia e infraestrutura crítica, tecnologia, saúde, segurança privada — setor com requisitos próprios definidos em lei para profissionais como vigilantes —, compras e gestão de fornecedores, e auditoria interna. Fora das exigências setoriais específicas, não há obrigação geral de repetir verificações a cada mudança de cargo; há, isso sim, um espaço amplo de boas práticas que cada organização pode formalizar em sua política interna.


Pensar a contratação como uma cadeia, e não como um trâmite de entrada, ajuda a organizar a discussão: pré-seleção, verificação prévia, integração, mudança de função, novos acessos, promoção, eventual atividade paralela ou conflito de interesses, revalidação quando cabível e, por fim, o desligamento. O risco humano, nesse esquema, não é uma característica fixa de alguém. Surge da combinação entre a pessoa, a função, o contexto e os acessos. Passar a ocupar uma posição em que certas verificações se tornam pertinentes não torna ninguém suspeito; significa apenas que o contexto mudou.


Empresas especializadas em background screening e human risk management, como a Validato, vêm incorporando essa lógica: entender a verificação não apenas como um trâmite pré-admissional, mas como um processo que pode acompanhar o nível de responsabilidade de cada função ao longo do vínculo — sem monitoramento permanente e sem acesso a informações privadas além do que cada verificação pontual exige.


Fontes e referências consultadas

  1. Data de consulta de todas as fontes: 16/10/2026.
  2. Presidência da República (Planalto). Consolidação das Leis do Trabalho (Decreto-Lei nº 5.452/1943) — arts. 3º, 138 e 482, alíneas c e g. https://www.planalto.gov.br/ccivil_03/decreto-lei/del5452.htm
  3. Tribunal Regional do Trabalho da 3ª Região. "Exclusividade não é requisito da relação de emprego", 12/11/2015. https://portal.trt3.jus.br/internet/conheca-o-trt/comunicacao/noticias-juridicas/importadas-2015-2016/exclusividade-nao-e-requisito-da-relacao-de-emprego-12-11-2015-06-00-acs
  4. Presidência da República (Planalto). Lei nº 13.709/2018 (LGPD) — arts. 6º e 9º. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
  5. SHRM. Roy Maurer, "Employers Slow to Pick Up Trend of Continuous Screening", 08/04/2019. https://shrm.org/topics-tools/news/talent-acquisition/shrm-employers-slow-to-pick-trend-continuous-screening
  6. Presidência da República (Planalto). Lei nº 14.967/2024 — Estatuto da Segurança Privada. https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2024/lei/l14967.htm
  7. TechTarget. Definição de privilege creep / access creep (gestão de identidades e acessos). https://www.techtarget.com/searchsecurity/definition/privilege-creep