Medidas técnicas e administrativas

O que isso quer dizer na prática?

A LGPD exige que a empresa proteja os dados de clientes, funcionários e parceiros como se fossem dinheiro no cofre. Não adianta só ter um sistema seguro: é preciso treinar pessoas, controlar acessos e ter um plano para casos de vazamento ou erro. Se um funcionário do RH deixar a planilha de salários aberta no computador ou o comercial enviar um contrato com CPF errado para o cliente, a empresa pode ser multada.

Como atender (passo a passo)

1. Mapear onde estão os dados Liste todos os lugares que guardam informações pessoais: planilhas do Excel, e-mails, sistemas (como ERP ou CRM), pastas no Google Drive, contratos físicos em armários. Exemplo: O comercial usa o Pipedrive com CPFs? O RH tem pastas com RG de candidatos? Anote tudo.
2. Limitar quem acessa Defina quem realmente precisa mexer em cada dado. Exemplo:
   • Só o analista de folha acessa a planilha de salários.
   • O estagiário de marketing não precisa ver os contratos com dados bancários de clientes.
   Use senhas, permissões no sistema ou até cadeados em armários físicos.
3. Treinar a equipe Faça uma reunião rápida (ou envie um vídeo de 5 minutos) explicando:
   • O que é dado pessoal (nome, CPF, e-mail, endereço, foto).
   • Como lidar com eles: não enviar por WhatsApp, não deixar papel na mesa, não compartilhar senhas.
   • O que fazer se errar (ex.: enviar e-mail para a pessoa errada).
4. Ter um plano para falhas Crie um checklist simples para casos de vazamento:
   • Quem avisa o dono dos dados (cliente/funcionário)?
   • Quem registra o ocorrido (mesmo que seja um e-mail interno)?
   • Quem corrigir o erro (ex.: apagar um backup não seguro)?
5. Revisar sempre A cada 3 meses, verifique:
   • Se alguém que saiu da empresa ainda tem acesso a sistemas.
   • Se há dados antigos que podem ser apagados (ex.: currículos de 2 anos atrás).
   • Se os backups estão funcionando (teste restaurar um arquivo).

O que auditor procura como evidência

• Lista atualizada de onde os dados estão guardados (mesmo que seja um Excel).
• Registros de treinamento: lista de presença ou print de e-mail confirmando que a equipe viu as regras.
• Log de acessos: relatórios de quem entrou nos sistemas (ex.: "Fulano acessou o sistema X às 10h").
• Protocolo de incidentes: pelo menos um exemplo de como a empresa agiu ao descobrir um erro (ex.: e-mail aviso sobre um vazamento + ação corretiva).

Erros comuns

• Acham que só o TI é responsável: A LGPD vale para todo mundo. Se o vendedor anota CPF do cliente em um caderno sem controle, é risco.
• Esquecem dos dados físicos: Contratos em papel jogados no lixo sem destruição ou pastas abertas na sala de reunião.
• Não testam o plano de falhas: Ter um procedimento no papel não adianta se ninguém sabe usá-lo. Exemplo: "Ah, mas ninguém sabia que tinha que avisar o jurídico se vazasse um dado".