O que a LGPD exige de segurança da informação na prática
Uma clínica pequena, sem equipe própria de tecnologia, guardava a ficha de pacientes numa planilha compartilhada por link público — ninguém tinha trocado a permissão desde a criação do arquivo, anos antes. O caso mostra que segurança da informação, para empresas sem estrutura de TI, não é sobre sofisticação: é sobre fechar as portas mais óbvias antes de pensar em qualquer coisa avançada.
O padrão que a lei espera, sem lista fechada
A norma exige que o agente de tratamento adote medidas de segurança técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações de destruição, perda, alteração ou vazamento, aplicadas desde a fase de concepção do produto ou serviço até a execução. Não há checklist único porque o risco muda conforme o volume e a sensibilidade dos dados tratados: uma clínica que guarda dado de saúde precisa de mais cuidado do que uma loja que só guarda nome e telefone.
Medidas que fazem diferença sem exigir departamento de TI
Controlar quem tem acesso a cada planilha ou sistema (só quem realmente precisa, e nada além disso), usar senha individual em vez de senha compartilhada entre a equipe, ativar backup automático e criptografia básica disponível nas próprias ferramentas usadas no dia a dia, e revisar periodicamente quem ainda tem acesso depois que um funcionário sai da empresa cobrem a maior parte do risco prático enfrentado por negócios de pequeno porte.
O ponto que mais aparece em vazamentos de pequenas empresas
Link de compartilhamento configurado como público em vez de restrito, sistema com senha padrão nunca trocada e planilha enviada por e-mail sem qualquer proteção respondem pela maior parte dos incidentes em negócios menores — não ataques sofisticados. Corrigir essas três frentes reduz o risco de forma desproporcional ao esforço exigido.
Quando o incidente acontece mesmo com medidas adotadas
Nenhuma medida de segurança elimina o risco por completo, e a lei reconhece isso ao cobrar proporcionalidade, não perfeição. Empresas que já tinham controles razoáveis em prática, mesmo que simples, tendem a demonstrar isso com mais facilidade diante de uma eventual fiscalização do que aquelas que nunca pararam para pensar no tema — a diferença entre as duas situações costuma aparecer justamente na dosimetria de uma sanção.
Perguntas frequentes
Criptografar tudo é obrigatório?
Não existe obrigação genérica de criptografar todo dado; a exigência é de medida proporcional ao risco, e para dado sensível ou volume relevante a criptografia costuma ser a medida mais adequada disponível.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.