LGPD para a equipe de TI: os controles que a empresa precisa ter

Quando se fala em LGPD, muita empresa pensa primeiro em política de privacidade e aviso de cookies no site. São itens importantes, mas a maior parte da proteção dos dados pessoais acontece em outro lugar: nos sistemas, nas contas de acesso, nos backups e nos computadores da equipe. Ou seja, na TI.

Este artigo resume o que a lei pede e quais controles práticos a equipe de tecnologia precisa garantir.

O que a lei pede da tecnologia

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) traz, no artigo 46, a obrigação de adotar medidas de segurança, técnicas e administrativas, capazes de proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

O artigo 48 trata dos incidentes: quando acontece um incidente de segurança que possa gerar risco ou dano relevante aos titulares, a empresa deve comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados. O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, estabelece prazo de três dias úteis para essa comunicação, contados a partir do conhecimento do incidente.

As sanções do artigo 52 incluem advertência, publicização da infração, bloqueio ou eliminação dos dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.

Os controles que fazem diferença

1. Gestão de identidade e acesso

A maior parte dos incidentes começa com uma credencial roubada. Os controles básicos são:

• Autenticação multifator para todos, começando por administradores e e-mail.
• Acesso mínimo necessário: cada pessoa acessa só o que precisa para trabalhar.
• Desligamento no mesmo dia: quando alguém sai, as contas são bloqueadas imediatamente.
• Contas de administrador separadas das contas de uso diário.

2. Proteção dos equipamentos

Notebook perdido com dados de clientes é incidente. Criptografia de disco, bloqueio de tela, antivírus atualizado e a possibilidade de apagar remotamente um equipamento perdido reduzem muito o risco. Ferramentas como o Microsoft Intune, incluído no Microsoft 365 Business Premium, permitem gerenciar isso de forma centralizada.

3. Atualizações em dia

Sistema desatualizado é falha conhecida esperando ser explorada. Defina uma rotina de atualização de sistemas operacionais, aplicativos e servidores, com prazo para correções críticas.

4. Backup e recuperação

A perda ou indisponibilidade de dados também é incidente. Backup com cópia isolada e testes de restauração são parte da segurança exigida pela lei.

5. Registro e monitoramento

Saber quem acessou o quê e quando é essencial para investigar um incidente e para cumprir o prazo de comunicação com informações corretas. Ative e guarde os registros de auditoria dos principais sistemas.

6. Classificação e descarte

Identificar onde estão os dados pessoais, quem acessa e por quanto tempo eles precisam ser guardados ajuda a reduzir a exposição. Dado que não precisa mais existir é risco sem benefício.

Prepare-se para o dia do incidente

Três dias úteis passam rápido. Ter um plano escrito antes do problema faz toda a diferença:

• Quem decide: os responsáveis por avaliar e comunicar o incidente, incluindo o encarregado de dados.
• Como investigar: quais registros consultar e quem tem acesso a eles.
• Como comunicar: modelos de comunicação para a ANPD e para os titulares.
• Como conter e recuperar: passos para isolar sistemas, trocar credenciais e restaurar dados.

O que costuma dar errado

• Tratar LGPD só como documento. Política bonita sem controle técnico não protege ninguém.
• Planilhas com dados pessoais circulando por e-mail. Uma das fontes mais comuns de vazamento.
• Fornecedores sem cláusula de segurança. Quem trata dados em nome da empresa também precisa proteger.
• Nenhum registro de acesso. Sem logs, a empresa não consegue nem dizer o que aconteceu.

Este conteúdo é informativo e não substitui orientação jurídica especializada.

Segurança como rotina

A adequação à LGPD não é um projeto com data para acabar, é uma rotina de controles revisados periodicamente. A Advanced4u ajuda empresas a implantar esses controles no ambiente Microsoft 365 e na nuvem, com licenciamento adequado e configuração de segurança. Saiba mais em Licenciamento e Office 365.