LGPD e segurança da informação: por onde uma PME deve começar

Uma pequena empresa lida com dados pessoais em atividades comuns: cadastro de clientes, folha de pagamento, emissão de documentos e troca de mensagens. A segurança dessas informações depende tanto de decisões de gestão quanto de tecnologia.

A Lei Geral de Proteção de Dados Pessoais, a LGPD, estabelece regras para o tratamento de dados pessoais. Não existe uma lista universal de ferramentas que, sozinha, garanta conformidade.

O caminho prático começa com o entendimento dos dados utilizados, dos riscos e das responsabilidades da empresa.

Este artigo apresenta medidas iniciais de segurança. As obrigações concretas dependem do tratamento realizado e do contexto da organização.

Para decisões jurídicas e regulatórias, envolva os responsáveis competentes.

Entenda quais dados a empresa utiliza

Dados pessoais são informações relacionadas a uma pessoa natural identificada ou identificável. Nome e telefone de um cliente, dados de um empregado e informações presentes em uma troca de e-mails são exemplos que podem estar na rotina de uma PME.

Comece conversando com as áreas de vendas, financeiro, recursos humanos e atendimento. Registre que informações são coletadas, para qual finalidade, onde ficam armazenadas e com quem são compartilhadas.

Inclua sistemas contratados, planilhas locais, pastas compartilhadas e mensagens usadas no trabalho.

Pergunte também quem pode acessar cada conjunto de dados e por quanto tempo as informações são mantidas. Esse mapa inicial não precisa ser um documento complexo.

Mas deve ter responsável e revisão periódica. Ele ajuda a encontrar cópias desnecessárias e acessos que deixaram de fazer sentido.

Colete e mantenha o necessário

Antes de adicionar um campo a um formulário ou pedir uma cópia de documento, questione qual é a finalidade e se todos aqueles dados são necessários. Compartilhar menos informações pode reduzir o impacto de um erro de envio ou acesso indevido.

Defina critérios de retenção e descarte com as áreas responsáveis. Algumas informações precisam ser conservadas por obrigações legais ou contratuais.

Outras podem não justificar armazenamento indefinido. Evite estabelecer prazos genéricos sem considerar a finalidade e as regras aplicáveis.

Quando houver descarte, cuide das diferentes cópias e dos dispositivos usados. Combine como tratar arquivos digitais, documentos impressos e equipamentos substituídos.

O procedimento deve ser compatível com a importância e a sensibilidade das informações.

Controle quem pode acessar

Cada pessoa deve ter acesso ao que precisa para executar seu trabalho. Revise permissões de pastas, sistemas e contas de e-mail, especialmente após mudança de função ou desligamento.

Evite contas compartilhadas quando for possível usar credenciais individuais.

Ative autenticação multifator nos serviços que oferecem esse recurso, priorizando e-mail, contas administrativas e acesso remoto. Use senhas fortes e exclusivas e ofereça à equipe um meio adequado de gerenciá-las.

Contas privilegiadas merecem proteção e revisão adicionais.

Peça ao fornecedor uma lista de acessos externos e verifique se cada um continua necessário. Estabeleça quem autoriza a criação de novas contas e como a remoção é confirmada.

Um processo simples de entrada, mudança e saída de pessoas pode evitar permissões esquecidas.

Proteja dispositivos, sistemas e cópias

Mantenha computadores, servidores, aplicativos e equipamentos de rede atualizados, considerando prioridade e impacto operacional. Instale e acompanhe soluções de proteção adequadas aos dispositivos utilizados.

Um alerta precisa ser encaminhado a alguém que possa analisá-lo.

Defina uma estratégia de backup para informações importantes e teste a restauração. Proteja os destinos e as contas de administração das cópias.

Um backup pode ajudar na recuperação de dados apagados ou indisponíveis. Mas não impede, por si só, acesso indevido ou divulgação.

Revise também links de compartilhamento e permissões de serviços em nuvem. Em e-mails, oriente a equipe a conferir destinatários e anexos antes de enviar dados pessoais.

Quando possível, use canais e configurações apropriados para a sensibilidade do conteúdo.

Organize pessoas, fornecedores e comunicação

Uma política curta pode orientar a equipe sobre uso de contas, compartilhamento de informações, trabalho remoto e comunicação de problemas. Para funcionar, ela precisa ser explicada e aplicada no dia a dia.

Uma pessoa deve saber a quem recorrer ao enviar um documento para o destinatário errado ou perceber uma atividade suspeita.

Ao contratar sistemas ou serviços que tratem dados pessoais, entenda quais informações serão compartilhadas, para qual finalidade e quais responsabilidades cabem a cada parte. Revise contratos e confirme como o fornecedor comunica incidentes e protege os dados sob sua responsabilidade.

A legislação e as orientações da ANPD preveem regras específicas para agentes de tratamento de pequeno porte elegíveis. O enquadramento não decorre automaticamente do fato de uma empresa se considerar pequena.

Avalie as condições aplicáveis ao caso e mantenha um canal adequado para atendimento aos titulares quando exigido.

Prepare a resposta a incidentes

Um incidente pode envolver envio indevido, perda de acesso, roubo de credenciais ou divulgação não autorizada. Oriente a equipe a avisar rapidamente os responsáveis e registre o que aconteceu, quando, quais dados podem estar envolvidos e quais medidas já foram tomadas.

Avalie a obrigação de comunicar

Não presuma que todo incidente deve ser comunicado à ANPD. A obrigação de comunicação pelo controlador depende dos critérios legais, incluindo a possibilidade de risco ou dano relevante aos titulares.

Avalie os fatos com apoio técnico e jurídico, preserve evidências e consulte as orientações atuais da autoridade.

Há prazos e regras específicos, inclusive tratamento diferenciado para agentes de pequeno porte que atendam aos requisitos. Não espere concluir toda a investigação para acionar os responsáveis pela análise.

A orientação oficial da ANPD ajuda a verificar os critérios e procedimentos aplicáveis.

Priorize e revise

Para começar, reúna em uma lista: dados importantes, pessoas com acesso, principais fornecedores, proteção dos sistemas, backup e contatos para incidentes. Identifique as lacunas de maior impacto e atribua responsáveis e datas de revisão.

Uma medida é útil quando pode ser executada e comprovada. Em vez de apenas escrever que acessos serão revistos, defina quem recebe a lista e registra as decisões.

Em vez de apenas dizer que há backup, teste a recuperação. Conheça os serviços de segurança da AETRI para avaliar o apoio técnico adequado ao ambiente.