Segurança, sigilo e boas práticas

O que isso quer dizer na prática?

A LGPD exige que a empresa proteja os dados de clientes, funcionários e parceiros como se fossem dinheiro no cofre: só quem tem permissão acessa, nada some ou é alterado sem controle, e a informação está disponível quando precisar. Se um dado vazar ou for roubado, a empresa responde por isso. Não adianta só ter um "antivírus" — é preciso provar que há rotinas claras, treinamento e revisões constantes.

Como atender (passo a passo)

1. Mapear onde os dados estão e quem mexe neles Liste todos os lugares que guardam dados pessoais: planilhas do RH, CRM do comercial, e-mails, nuvem, pastas compartilhadas. Anote quem pode acessar cada um (ex.: só o gerente financeiro vê salários; o estagiário não).
2. Bloquear acessos desnecessários
   • Use senhas fortes (nada de "123456") e autenticação em dois fatores (ex.: código por SMS + senha).
   • Configure permissões por cargo: o time de vendas não precisa ver dados médicos dos funcionários.
   • Criptografe dados sensíveis (ex.: CPF, senhas) — ferramentas como BitLocker (Windows) ou VeraCrypt ajudam.
3. Treinamento obrigatório (e registrado) Todo mundo — do estagiário ao CEO — deve saber:
   • O que é dado pessoal (até um e-mail ou foto é dado!).
   • Como identificar golpes (ex.: "Urgentemente, me manda a lista de clientes").
   • O que fazer se suspeitar de vazamento (ex.: avisar o DPO ou TI imediatamente).
   Guarde a lista de presença ou certificado do treinamento.
4. Testar e revisar as proteções
   • Faça simulações de ataque: peça para a TI tentar "invadir" seus sistemas (teste de penetração).
   • Revise as regras a cada 6 meses ou se houver incidente (ex.: um notebook roubado com dados de clientes).
   • Atualize softwares sempre (aquela janela chata do "atualizar agora" evita 90% dos problemas).
5. Ter um plano para emergências Defina o que fazer se os dados vazarem:
   • Quem avisa os afetados? (Ex.: e-mail para clientes em até 72h.)
   • Como isola o sistema comprometido? (Ex.: tirar servidor do ar.)
   • Quem fala com a imprensa ou autoridades? (Ex.: só o jurídico ou comunicação.)
   Deixe isso escrito e teste o plano uma vez por ano.

O que auditor procura como evidência

• Política de segurança da informação: documento assinado pela direção com regras claras (ex.: "Dados de clientes só podem ser acessados via VPN").
• Registros de treinamentos: planilha com nome, cargo, data e tema (ex.: "LGPD para equipe comercial — 10/05/2024").
• Logs de acesso: relatórios de quem entrou nos sistemas e o que fez (ex.: "Maria (RH) baixou a planilha de folha às 14h").
• Relatórios de incidentes: mesmo que pequeno (ex.: "Funcionário clicou em link suspeito — bloqueado e treinamento reforçado").
• Contratos com fornecedores: se usam serviços externos (ex.: contabilidade, cloud), deve ter cláusula de que eles também protegem os dados.

Erros comuns

• Achar que "já temos antivírus, está seguro": antivírus é o mínimo. Sem controle de acesso ou treinamento, é como trancar a porta da frente e deixar a janela aberta.
• Deixar dados em planilhas sem proteção: um arquivo "Clientes 2024.xlsx" no desktop ou Google Drive sem senha é um prato cheio para vazamentos.
• Não testar o plano de emergência: se o vazamento acontecer e ninguém sabe o que fazer, o prejuízo dobra (multa + reputação).
• Esquecer dos fornecedores: se a contabilidade ou o sistema de nuvem que você usa vazar dados, sua empresa responde junto. Exija comprovação de que eles cumprem a LGPD.