Adequação à LGPD na prática, pelo lado técnico

O que é trabalho de advogado e o que é trabalho de TI

A adequação à LGPD tem duas metades. Uma é jurídica: definir base legal para cada tratamento, revisar contrato com fornecedor, escrever política, nomear encarregado, responder titular. Essa metade é de advogado ou de consultoria jurídica especializada, e a VNC TEC não faz esse trabalho nem se apresenta como se fizesse.

A outra metade acontece dentro do parque de TI. É onde a lei encosta na realidade: o artigo 46 exige medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Traduzindo para o dia a dia: quem entra em qual pasta, o que acontece quando alguém é desligado, se o backup volta quando é chamado, e se existe registro de quem acessou o quê.

Essas duas metades precisam conversar. O documento jurídico descreve controles; o ambiente precisa ter esses controles ligados. Quando a assessoria jurídica já existe, trabalhamos a partir do que ela definiu. Quando ainda não existe, seguimos com a parte técnica e recomendamos que a empresa busque apoio jurídico em paralelo — uma metade sem a outra deixa a empresa exposta de um jeito ou de outro.

Primeiro passo: descobrir onde o dado pessoal está

Quase toda empresa acha que sabe. Quase nenhuma sabe. O RH tem a folha no sistema, mas também tem uma pasta com cópias de documento digitalizado. O comercial tem o CRM, mas trabalha com uma planilha exportada que circula por e-mail. O financeiro guarda contrato assinado em PDF numa pasta compartilhada com permissão herdada de 2019. O dado pessoal não fica só onde o organograma diz que ele fica.

O levantamento técnico percorre o parque de verdade: servidores de arquivo e o que está compartilhado em cada um, bases dos sistemas de gestão, caixas de e-mail, armazenamento em nuvem corporativo e pessoal usado para trabalho, estações com arquivo local, dispositivos móveis com acesso a e-mail e sistema, e mídias de backup antigas que ninguém lembra que existem. O resultado é um inventário que diz, para cada repositório, que tipo de dado pessoal ele guarda, quem tem acesso hoje e por qual caminho esse acesso acontece.

É comum esse inventário já resolver metade do problema sozinho. Encontrar três cópias da mesma base de clientes em lugares diferentes significa que dá para eliminar duas e reduzir a superfície de exposição sem comprar nada. Minimização é um princípio da própria lei: não tratar mais dado do que o necessário para a finalidade. Apagar o que não precisa existir é adequação, e é barato.

Incidente: o relógio começa quando você descobre

A LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A ANPD regulamentou essa comunicação em 2024 e fixou prazo em dias úteis contados do conhecimento do incidente, além do conteúdo mínimo que a comunicação precisa ter: natureza do incidente, dados afetados, número de titulares envolvidos, medidas técnicas de proteção que estavam em uso e providências tomadas.

Repare no que esse conteúdo exige. Para dizer quais dados foram afetados, é preciso ter o mapa. Para dizer quantos titulares, é preciso saber o tamanho da base exposta. Para descrever as medidas que estavam em uso, é preciso que elas estivessem documentadas antes. Empresa sem preparo técnico não perde prazo por descuido: perde porque leva dias só para entender o que aconteceu.

O plano que montamos define papéis e passos: quem é acionado, em que ordem, como se isola o ativo sem destruir evidência, onde ficam os logs, quem levanta escopo, e em que ponto o jurídico entra para decidir sobre a comunicação. Um plano de duas páginas que as pessoas conhecem vale mais que um manual de cinquenta que ninguém leu.

Detecção é pré-requisito de tudo isso. Veja como funciona o SOC como serviço para PME, a base de segurança digital empresarial e o backup em nuvem corporativo, que sustenta a parte de disponibilidade.

Perguntas Frequentes sobre adequação à LGPD