Qual é o básico técnico da LGPD numa empresa pequena?
A LGPD não se resolve com um produto nem com um serviço de TI. O que a TI faz é sustentar a parte técnica: saber onde os dados pessoais estão, controlar quem acessa, registrar acessos, proteger contra perda e ter como responder a um incidente. As decisões jurídicas são da empresa com a assessoria dela.
A conversa sobre LGPD em empresa pequena costuma chegar à TI como um pedido de solução: o que eu compro para ficar em conformidade? Não existe essa compra. Conformidade envolve base legal, política, contrato e processo — e uma parte técnica, que é onde a TI trabalha. Este texto trata só dessa parte, e diz com clareza onde ela termina.
Saber onde os dados pessoais estão
É o primeiro passo técnico, e o mais revelador. Na prática, dado pessoal costuma estar em mais lugares do que a empresa imagina:
- No sistema de gestão, que é o lugar esperado.
- Em planilhas na pasta compartilhada, muitas vezes cópias antigas de listas de clientes.
- Em caixas de e-mail, em anexos que ninguém apaga.
- Em áreas pessoais de nuvem de cada funcionário.
- Em backups antigos, inclusive de sistemas que a empresa nem usa mais.
- Em equipamento desativado guardado no depósito.
- Em serviços contratados de terceiros, que processam dados em nome da empresa.
- Em aplicativo de mensagem, em conversas de atendimento.
Esse levantamento não é jurídico, é técnico — e sem ele nada do que vem depois é possível.
Controlar quem acessa o quê
É a medida técnica com maior efeito prático:
- Permissão por grupo, conforme a função, e não acesso amplo por comodidade.
- Leitura como padrão, escrita como exceção justificada.
- Contas nominais, para que o registro tenha significado.
- Verificação em duas etapas nas contas com acesso a dado pessoal.
- Encerramento de acesso no desligamento, no mesmo dia.
- Revisão periódica de quem acessa o quê, com a área confirmando.
- Acesso de terceiros com prazo definido e revisão.
Proteger, registrar e conseguir responder
As três capacidades técnicas que a empresa precisa ter:
- Proteger contra perda: backup testado por restauração, e não relatório verde. Perder dado pessoal também é incidente.
- Proteger contra acesso indevido: criptografia de disco em equipamento móvel, rede segmentada, acesso remoto por VPN, sistemas atualizados.
- Registrar: auditoria de acesso ativada ANTES do incidente. Ligada depois, não informa nada sobre o passado.
- Responder: ter como levantar rapidamente o que aconteceu, quando, quais dados foram alcançados e quem acessou. Sem registro, a empresa não consegue responder às perguntas que vai receber.
- Descartar com segurança: equipamento que sai da empresa com a mídia tratada antes, e não vendido ou doado inteiro.
Onde a TI para e começa o jurídico
Sendo direto sobre o limite, porque prometer além disso seria desonesto:
- É da empresa, com a assessoria dela: definir as bases legais do tratamento, escrever as políticas de privacidade, decidir prazos de retenção, redigir cláusulas com fornecedores, indicar o encarregado, avaliar o dever de comunicar um incidente e a quem.
- É da TI: implementar o que foi decidido, manter o controle de acesso, garantir backup e registro, e fornecer a informação técnica quando houver incidente.
Ninguém que venda apenas serviço de TI pode prometer conformidade. O que a TI entrega é a sustentação técnica, sem a qual nenhuma política se cumpre na prática — e com a qual, sozinha, ainda não há conformidade.
Como isso fica no contrato mensal
As medidas técnicas acima não são projeto com data de fim: acesso revisado, backup testado, atualização em dia, registro ativo e descarte controlado são rotina. No contrato mensal elas têm periodicidade e relatório — e, se houver incidente, existe o registro necessário para que a empresa e a assessoria dela decidam o que fazer. Veja Contrato de suporte mensal e os planos de suporte mensal.