LGPD e TI: o que sua empresa precisa fazer

A LGPD está em vigor desde 2020 e a fiscalização deixou de ser hipótese. Ainda assim, boa parte das empresas trata o assunto como projeto jurídico: contrata a política de privacidade, publica o aviso no site e considera resolvido. A parte que fica sem dono é justamente a que vai ser cobrada em uma fiscalização ou em um incidente, e ela mora na TI.

A lei não determina qual antivírus usar nem exige um produto específico. Ela exige que a empresa adote medidas de segurança capazes de proteger dados pessoais e que consiga demonstrar isso. Essa palavra, demonstrar, é o que muda o trabalho da TI.

Este texto trata do lado técnico da adequação. Ele não substitui orientação jurídica, e a definição de bases legais, políticas e contratos deve ser feita com quem cuida do jurídico da empresa.

O que a LGPD cobra da TI

Resumindo o que sobra para a área de tecnologia, são seis obrigações práticas:

• saber onde estão os dados pessoais que a empresa guarda
• garantir que só quem precisa consegue acessar
• proteger contra perda, vazamento e acesso indevido
• registrar quem fez o quê, para conseguir responder depois
• estender essas exigências aos fornecedores que tratam dados em nome da empresa
• ter um plano para quando um incidente acontecer

O resto do artigo destrincha cada uma.

1. Descobrir onde os dados estão

Não dá para proteger o que ninguém sabe que existe. O primeiro trabalho é mapear onde há dado pessoal na empresa, e a resposta quase nunca é só o sistema de gestão. Costuma haver dado de cliente e de funcionário em planilhas na rede, em caixas de e-mail, no sistema de ponto, na ferramenta de recrutamento, no WhatsApp da equipe comercial, em backup antigo e no computador de quem trabalha em casa.

O mapeamento responde quatro perguntas por local: que dado é, de quem, por que a empresa tem e há quanto tempo. A quarta pergunta costuma ser a mais reveladora. Currículo de processo seletivo de 2019, base de ex-cliente de dez anos atrás e backup sem prazo de descarte são passivo, não ativo. Guardar dado sem necessidade aumenta o risco sem trazer benefício.

2. Controlar quem acessa

O princípio é simples: cada pessoa acessa o mínimo necessário para o trabalho dela. Na prática, o que costuma existir é pasta de rede aberta para todo mundo, sistema em que todos entram como administrador e conta compartilhada usada pela equipe inteira.

O que resolve a maior parte disso:

• conta individual para cada pessoa, sem usuário compartilhado
• permissão por grupo e por função, revisada quando alguém muda de área
• autenticação em dois fatores no e-mail, no acesso remoto e nos sistemas com dado pessoal, como descrito em segurança do Microsoft 365
• desligamento que corta o acesso no mesmo dia, incluindo VPN, e-mail e sistemas de terceiros
• revisão periódica de quem tem acesso a quê, pelo menos uma vez por ano

3. Proteger de verdade

Aqui entram as medidas que a lei chama de técnicas e administrativas. As que fazem diferença real no dia a dia da empresa média:

Backup com restauração testada. Perda de dado pessoal é incidente, mesmo sem vazamento. Backup que nunca foi restaurado é suposição. O artigo sobre a importância do backup empresarial mostra o que testar e com que frequência.

Atualização em dia. A maior parte dos incidentes explora falha conhecida e já corrigida pelo fabricante. Rotina de atualização de sistema operacional, servidor e aplicação vale mais que qualquer ferramenta nova.

Proteção de borda e de estação. Firewall com regra revisada e antivírus corporativo gerenciado, com visibilidade central. O artigo sobre como proteger os dados da empresa detalha cada uma dessas camadas. Antivírus gratuito instalado máquina a máquina não dá resposta a ninguém.

Criptografia onde o dado circula ou some. Disco de notebook criptografado, conexão remota por VPN, transferência de arquivo por canal controlado. Notebook perdido com disco aberto é vazamento.

Segregação. Rede de visitantes separada da rede da empresa, ambiente de teste sem base real de cliente, servidor de arquivo com pastas por área.

4. Registrar o que acontece

Se houver incidente, a empresa vai precisar responder o que aconteceu, quando, quais dados foram afetados e quem teve acesso. Isso só é possível se existir registro. Vale guardar log de acesso a sistemas com dado pessoal, log de firewall e de VPN, histórico de alteração de permissão e registro de chamados que envolveram dado.

Duas decisões precisam estar tomadas antes: por quanto tempo cada registro é guardado e onde. Registro apagado em sete dias por padrão não ajuda em nada em um incidente descoberto no mês seguinte.

5. Olhar para os fornecedores

A empresa continua responsável pelos dados que entrega a terceiros. Isso vale para o sistema de gestão em nuvem, a folha de pagamento, a ferramenta de marketing, o serviço de nuvem e também para a empresa de TI que administra o ambiente.

O mínimo a verificar em cada um: onde os dados ficam hospedados, quem da equipe do fornecedor tem acesso, como é o backup dele, o que acontece com os dados no fim do contrato e se existe cláusula de proteção de dados assinada. Fornecedor que não responde isso por escrito é risco assumido pela sua empresa, não pela dele.

6. Ter plano para o dia do incidente

Incidente de segurança que possa causar risco relevante aos titulares precisa ser comunicado à ANPD e às pessoas afetadas. Desde a Resolução CD/ANPD nº 15/2024, o prazo para comunicar a autoridade é de três dias úteis contados do conhecimento do incidente. Três dias úteis é pouco tempo para descobrir o que aconteceu se não houver registro nem plano.

O plano mínimo cabe em uma página e responde: quem é avisado primeiro, quem decide, como o ambiente é isolado, onde estão os registros que mostram a extensão do problema, quem fala com o jurídico e quem comunica. Definir isso com calma custa uma reunião. Definir no meio de um ataque custa muito mais, e o cenário mais comum desse ataque está descrito em como evitar ransomware em empresas.

O que a TI não resolve sozinha

Base legal de cada tratamento, política de privacidade, contrato com fornecedor, atendimento a pedido de titular e definição do encarregado são decisões que envolvem jurídico e gestão. A TI entrega a parte técnica e a evidência, não a interpretação da lei.

Também não resolve sozinha o comportamento das pessoas. Base de cliente enviada por WhatsApp e planilha exportada para o computador pessoal continuam sendo o caminho mais curto para um vazamento em empresa pequena e média.

Por onde começar

Se a empresa está começando do zero, esta ordem entrega mais proteção por esforço:

1. mapear onde há dado pessoal e apagar o que não precisa mais existir
2. acabar com conta compartilhada e ligar autenticação em dois fatores no e-mail
3. revisar permissão de pasta de rede e de sistema
4. confirmar que o backup roda e restaura
5. ajustar retenção de registro e verificar atualização em dia
6. levantar os fornecedores que tratam dado e o que está assinado com cada um
7. escrever o plano de incidente de uma página

Conclusão

Adequar a TI à LGPD é menos sobre comprar ferramenta e mais sobre saber onde estão os dados, limitar quem acessa, proteger, registrar e ter plano. Nenhum desses itens exige projeto de anos, e os quatro primeiros já reduzem a maior parte do risco.

A pergunta que a empresa deveria conseguir responder em qualquer segunda-feira é simples: se um notebook sumisse hoje, quais dados pessoais estavam nele e quem precisaria ser avisado. Se a resposta demora, o trabalho começa aí.