Segurança de dados na LGPD: como evitar a exposição de informações ao usar ferramentas online

Você recebeu uma planilha, precisa resumir um documento ou quer usar uma ferramenta de IA para acelerar uma tarefa. A solução parece simples: copiar o conteúdo, colar na plataforma e seguir em frente. O problema começa quando esse material contém dados pessoais ou informações que a empresa não deveria compartilhar naquele ambiente. É justamente nesse ponto que entra a segurança de dados na LGPD.

A Lei Geral de Proteção de Dados determina que organizações adotem medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados, perda, alteração, comunicação e outras formas de tratamento inadequado ou ilícito.

E isso muda uma coisa importante na rotina: segurança de dados não é responsabilidade exclusiva da equipe de TI. Quem utiliza uma plataforma online também pode tomar uma decisão que aumenta — ou reduz — o risco de exposição.

O problema não é usar ferramentas online

É fácil cair em uma conclusão equivocada: se uma ferramenta está disponível na internet e funciona bem, então ela pode ser usada para qualquer atividade profissional.

Não é bem assim.

Empresas utilizam serviços em nuvem, plataformas de comunicação, ferramentas de produtividade e sistemas de inteligência artificial todos os dias. A própria ANPD inclui orientações específicas sobre segurança em serviços de nuvem em seu Guia de Segurança da Informação.

O ponto, portanto, não é abandonar essas ferramentas. É saber que informação está sendo colocada nelas e se aquele uso faz sentido para o contexto.

Uma tarefa de cinco minutos pode envolver um dado pessoal

Imagine uma situação comum.

Um profissional precisa organizar uma lista de clientes. Ele copia o arquivo para uma ferramenta online para separar nomes, contatos e outras informações.

A tarefa pode levar poucos minutos. Ainda assim, existe uma pergunta que deveria vir antes do “copiar e colar”:

Essa ferramenta realmente precisa receber todos esses dados?

Se não precisa, o melhor caminho é reduzir as informações compartilhadas.

O que a LGPD chama de dado pessoal?

Esse ponto costuma gerar confusão porque dado pessoal não significa apenas CPF, RG ou número de cartão.

A LGPD protege informações relacionadas a uma pessoa natural identificada ou identificável. Além disso, a legislação estabelece regras específicas para dados pessoais sensíveis.

Na rotina de uma empresa, isso pode envolver informações presentes em:

• cadastros de clientes;
• currículos;
• contratos;
• planilhas;
• sistemas de atendimento;
• documentos de funcionários;
• registros de contato;
• bases de leads;
• formulários;
• relatórios.

Ou seja, um arquivo aparentemente comum pode conter muito mais informação pessoal do que parece.

E os dados pessoais sensíveis?

Aqui, o cuidado precisa ser ainda maior.

A LGPD estabelece uma categoria específica para dados pessoais sensíveis, que inclui informações como origem racial ou étnica, religião, opinião política, saúde, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa.

Por isso, colocar esse tipo de informação em uma ferramenta online sem avaliar previamente a situação é uma decisão que merece atenção especial.

Antes de colar qualquer coisa em uma ferramenta, faça estas perguntas

Não existe uma fórmula que transforme qualquer ferramenta online em ambiente seguro. Por outro lado, algumas perguntas simples ajudam a evitar decisões precipitadas.

1. Eu realmente preciso enviar esse dado?

Essa é provavelmente a pergunta mais importante.

A LGPD estabelece o princípio da necessidade: o tratamento deve se limitar ao mínimo necessário para cumprir sua finalidade.

Então, se você precisa apenas analisar uma informação, talvez não precise enviar a base inteira.

Em vez de compartilhar 5 mil registros, por exemplo, avalie se a tarefa pode ser executada com uma amostra, com dados fictícios ou com informações que não identifiquem as pessoas.

2. Para que esse dado será utilizado?

Não basta saber o que está sendo enviado. É preciso entender por que.

A finalidade do tratamento importa porque a LGPD estabelece princípios que orientam o uso dos dados pessoais. Entre eles estão finalidade, adequação e necessidade.

Se você não consegue explicar por que determinada informação precisa estar naquela ferramenta, talvez ela nem devesse ser enviada.

3. Essa ferramenta está autorizada pela empresa?

Essa resposta depende das regras internas de cada organização.

Uma empresa pode, por exemplo, estabelecer quais ferramentas podem ser utilizadas para determinados tipos de informação. Também pode determinar quais dados nunca devem ser inseridos em plataformas externas.

Por isso, antes de usar uma ferramenta nova, consulte a política interna de segurança da informação, privacidade ou uso de tecnologia.

A ANPD, inclusive, recomenda que organizações estabeleçam políticas de segurança da informação com orientações relacionadas ao tratamento de dados pessoais.

4. Quem terá acesso ao conteúdo?

Essa pergunta costuma passar despercebida.

Se uma informação pessoal entra em determinado sistema, é importante saber como o acesso é controlado e quais pessoas ou perfis podem visualizá-la.

O controle de acesso aparece entre as medidas técnicas indicadas pela ANPD em seu guia de segurança da informação.

E quando a ferramenta é de inteligência artificial?

A chegada das ferramentas de IA tornou esse cuidado ainda mais relevante.

Hoje, é possível pedir a uma plataforma que resuma um contrato, organize uma planilha, analise um documento ou escreva uma resposta em poucos segundos.

A produtividade aumenta. O risco, porém, também merece atenção quando o material enviado contém informações que não deveriam ser compartilhadas.

Não transforme uma ferramenta de IA em depósito de informações da empresa

Um erro comum é tratar a caixa de conversa de uma ferramenta de IA como se fosse um espaço privado de trabalho.

Não deveria funcionar assim.

Antes de inserir um documento, analise seu conteúdo. Existem dados pessoais? Informações financeiras? Dados de clientes? Contratos? Informações estratégicas? Credenciais ou outros conteúdos que a empresa considera confidenciais?

Se a resposta for sim, pare e verifique as regras aplicáveis antes de enviar.

Use dados fictícios sempre que a tarefa permitir

Se o objetivo é testar uma ferramenta, demonstrar um processo ou estruturar um exemplo, dados reais nem sempre são necessários.

Um conjunto fictício pode cumprir a mesma função sem expor informações de pessoas reais.

Essa lógica conversa diretamente com o princípio da necessidade: se determinado dado não é necessário para realizar a atividade, não há motivo para incluí-lo.

Segurança de dados na LGPD também passa pelos funcionários

Existe uma tendência de tratar segurança como uma questão exclusivamente tecnológica.

Só que uma senha fraca, um compartilhamento indevido ou o envio de um arquivo para a plataforma errada também podem criar problemas.

Por isso, a ANPD inclui conscientização e treinamento entre as medidas administrativas de segurança da informação apresentadas em seu guia.

Uma boa política precisa responder perguntas do dia a dia

Não adianta entregar aos funcionários um documento cheio de termos técnicos se ninguém sabe o que fazer quando surge uma situação concreta.

Uma orientação útil precisa deixar claro, por exemplo:

• quais ferramentas estão autorizadas;
• que tipo de dado pode ser compartilhado;
• quais informações são confidenciais;
• como utilizar ferramentas de IA;
• onde os arquivos devem ser armazenados;
• quem deve ser acionado em caso de dúvida;
• como comunicar um possível incidente.

Assim, segurança deixa de ser apenas uma regra escrita e passa a fazer parte do trabalho cotidiano.

O que fazer se você enviar um dado por engano?

Primeiro: não esconda o problema.

Se uma informação foi enviada para uma ferramenta ou pessoa errada, comunique o ocorrido pelo canal definido pela empresa. A organização poderá então avaliar a situação e decidir quais providências são necessárias.

Isso importa porque a LGPD prevê obrigações específicas para incidentes de segurança que possam gerar risco ou dano relevante aos titulares. O artigo 48 determina que o controlador comunique a ANPD e os titulares nesses casos, observadas as regras aplicáveis.

Quanto mais cedo a empresa souber, melhor

Um erro identificado rapidamente pode permitir medidas para reduzir seus efeitos.

Por isso, empresas precisam deixar claro a quem o funcionário deve recorrer quando perceber uma possível exposição.

O silêncio, nesse cenário, não protege a organização. Pelo contrário: pode dificultar a avaliação do que aconteceu e das medidas que precisam ser tomadas.

Um checklist rápido para usar antes de compartilhar dados

Antes de enviar qualquer arquivo ou informação para uma plataforma online, pare por alguns segundos.

O conteúdo identifica alguém?

Se sim, avalie se existe dado pessoal envolvido.

A ferramenta precisa dessa informação?

Se não precisa, retire-a.

Você sabe qual é a finalidade do uso?

Se não sabe explicar por que o dado será utilizado, não envie até esclarecer.

A empresa permite o uso dessa ferramenta?

Consulte as políticas internas quando houver dúvida.

Existem dados sensíveis ou informações confidenciais?

Nesse caso, redobre o cuidado e procure orientação.

Você sabe o que fazer se algo der errado?

Conheça o canal interno para comunicar incidentes ou suspeitas de exposição.

O maior risco pode estar no “é só uma planilha”

A transformação digital trouxe uma quantidade enorme de ferramentas para dentro das empresas. Hoje, uma pessoa consegue analisar dados, gerar textos, compartilhar arquivos e automatizar tarefas sem depender de uma estrutura complexa.

Isso é positivo.

Mas também significa que decisões sobre segurança passaram a acontecer muito mais perto da operação.

Uma pessoa pode escolher uma ferramenta em poucos minutos. Pode fazer upload de um arquivo em segundos. E pode não perceber que aquele documento contém dados que exigiriam outro nível de cuidado.

É por isso que segurança de dados na LGPD não deve ser tratada apenas como um assunto jurídico ou de tecnologia.

Ela precisa aparecer nas pequenas decisões.

Antes de compartilhar um arquivo, antes de colar um texto em uma IA e antes de cadastrar uma informação em uma plataforma, vale fazer uma pausa e perguntar: eu preciso realmente enviar esse dado para lá?

Essa pergunta simples pode evitar muita dor de cabeça.

REVIIV INSIGHTS

O avanço das ferramentas digitais não torna a segurança de dados menos importante — torna a governança mais necessária. Para as empresas, o desafio não é impedir que os profissionais usem novas tecnologias, mas estabelecer limites claros para que produtividade, inovação e proteção de dados caminhem juntas.

Fontes

• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (Planalto).
• Autoridade Nacional de Proteção de Dados — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.
• Autoridade Nacional de Proteção de Dados — Materiais Educativos e Publicações.