A Lei Geral de Proteção de Dados está em vigor desde setembro de 2020. O que mudou nesses seis anos não foi o texto da lei: foi a expectativa em torno dele. Deixou de ser aceitável responder "estamos estudando", e passou a ser comum que o cliente, o convênio, a licitação ou o próprio seguro perguntem — por escrito — o que a empresa faz para proteger o dado que recebe.
A boa notícia para quem toca um negócio comum é que a maior parte do que se cobra não é jurídica. É técnica. E depende diretamente de como a infraestrutura foi montada.
A parte que quase ninguém trata como técnica
A lei fala em adotar medidas de segurança "técnicas e administrativas" aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
As administrativas são as que costumam receber atenção primeiro, porque são as que um escritório de advocacia entrega: política interna, cláusula de contrato, termo de confidencialidade, treinamento da equipe.
As técnicas são onde a infraestrutura entra — e são justamente as que costumam faltar. Quatro delas aparecem em praticamente toda avaliação:
- Controle de acesso por pessoa, e não por senha compartilhada.
- Registro de quem acessou o quê, e quando.
- Cópia de segurança que volta — não apenas que é gerada.
- Separação entre ambientes, para que um equipamento comprometido não alcance tudo.
Nenhuma das quatro é cara perto do que custa a alternativa. Todas exigem decisão de alguém.
Acesso por pessoa, não por senha compartilhada
É o item mais barato da lista e o mais ignorado.
Se a empresa usa uma senha única para o sistema, uma senha única para a rede sem fio, ou um e-mail de setor que a equipe inteira abre, não existe resposta possível para a pergunta "quem acessou". E sem essa resposta, o registro obrigatório de incidente — que a lei exige comunicar — vira adivinhação. A empresa precisa informar o que aconteceu, quais dados foram afetados e quantas pessoas foram atingidas. Com credencial compartilhada, nenhuma dessas três respostas existe.
Há um efeito colateral que costuma convencer mais que o argumento legal: com acesso individual, desligar alguém é desligar uma pessoa. Com senha compartilhada, desligar alguém é trocar a senha de todo mundo — o que ninguém faz, e é por isso que o acesso continua vivo.
O que a lei chama de incidente e o que a empresa costuma chamar
Esta é a distância que mais surpreende gestor. A palavra "incidente" evoca invasão, tela preta, pedido de resgate. Na prática, a maior parte do que se enquadra é bem mais banal:
- Perder um notebook com planilha de clientes dentro.
- Ex-funcionário que continua entrando no sistema depois do desligamento.
- Cópia de segurança guardada num serviço aberto, sem senha.
- Planilha com dado pessoal enviada por engano para o destinatário errado.
- Documento de paciente ou de cliente circulando em grupo de mensagens.
Nenhum dos cinco parece "ataque hacker". Os cinco entram na mesma conta — e os cinco são evitáveis com arranjo, não com heroísmo.
Guardar na nuvem, por si só, não resolve
É uma confusão frequente e vale desfazer. Contratar um serviço de nuvem transfere a responsabilidade pela infraestrutura física — energia, refrigeração, disco, prédio. Não transfere a responsabilidade pelo dado.
Quem decide quem tem acesso continua sendo a empresa. Quem decide por quanto tempo o dado é guardado continua sendo a empresa. Quem responde perante o titular do dado — a pessoa cujo nome, CPF ou exame está ali — continua sendo a empresa. O provedor é um operador; o controlador é quem coleta e decide.
Na prática isso significa que a mesma pasta compartilhada mal configurada é um problema no servidor da sala dos fundos e continua sendo um problema na nuvem. Só que na nuvem ela costuma estar acessível de qualquer lugar do mundo.
O prazo que quase ninguém tem preparado
Há um detalhe do texto legal que costuma passar batido até o dia em que faz falta: quando ocorre um incidente que possa acarretar risco relevante aos titulares, a empresa deve comunicar a autoridade nacional e as pessoas afetadas em prazo razoável.
"Prazo razoável" parece confortável e não é. Ele começa a correr quando a empresa toma conhecimento — e a conta que interessa é outra: quanto tempo se leva para descobrir. Um ambiente sem monitoramento pode passar semanas sem saber que uma conta está sendo usada por quem não deveria. Nesse arranjo, o relógio do prazo nem começou a contar, e o dano já está acontecendo há um mês.
É por isso que monitoramento não é luxo de empresa grande neste assunto: ele é o que transforma "não sabíamos" em "detectamos na madrugada e agimos".
Empresa pequena está dentro
A lei não tem um piso de faturamento nem de número de funcionários. Ela trata de tratamento de dado pessoal — e uma clínica com seis pessoas trata dado sensível de saúde todos os dias, o que é a categoria mais exigente que existe no texto.
O que muda com o porte é a proporcionalidade das medidas, não a obrigação. A autoridade nacional publicou orientação específica para agentes de pequeno porte justamente porque se espera medidas compatíveis com o tamanho — não a ausência delas. Ninguém exige de um escritório de cinco pessoas o mesmo aparato de um banco. Exige-se que exista controle de acesso, que exista cópia que volta, e que exista alguém capaz de dizer o que aconteceu se algo acontecer.
Por onde começar, em ordem de custo
- Levante quem tem acesso a quê. Uma planilha resolve. Quase sempre aparecem contas de gente que não trabalha mais na empresa.
- Acabe com as senhas compartilhadas dos sistemas que guardam dado pessoal. É o passo com melhor relação entre esforço e resultado.
- Teste uma restauração. Escolha um arquivo, restaure de verdade, confira se abre e anote quanto tempo levou.
- Separe o que não precisa se enxergar. Equipamento de sala técnica, câmera e computador de recepção não precisam estar na mesma rede que o financeiro.
Onde termina o nosso papel
Vale dizer com todas as letras, porque é onde muito fornecedor promete o que não pode entregar: conformidade é da empresa, e envolve o jurídico dela. Nenhum prestador de infraestrutura "deixa uma empresa em conformidade com a LGPD" — quem avalia isso é quem responde por ela.
O que entregamos são as medidas técnicas que a conformidade exige: acesso individual, registro de acesso, segregação de rede, cópia imutável e restauração testada. Quem diz se a empresa está conforme é o jurídico, com esses elementos na mão. Sem eles, o parecer não tem em que se apoiar.
Se você não sabe responder hoje quem tem acesso ao sistema da sua empresa, esse é o lugar por onde a conversa começa. O levantamento é sem custo.
Perguntas frequentes
A minha empresa é pequena. A LGPD vale para mim?
Vale. O porte muda o que é razoável exigir, não a aplicação da lei. Uma clínica de seis pessoas trata dado de saúde, que é categoria especial.
Guardar os dados na nuvem já resolve?
Não por si. Muda onde o dado está, não quem acessa, nem se existe registro, nem se a cópia volta. As medidas técnicas continuam sendo necessárias.
Vocês fazem a adequação jurídica?
Não. Entregamos as medidas técnicas — controle de acesso, registro, segregação, backup imutável e restauração conferida. A parte jurídica é do advogado ou do encarregado.
