Resposta rápida
Conformidade com a LGPD não é uma política escrita — é a prova de que você sabe o que acontece com o dado pessoal em cada endpoint que o toca. A maioria das empresas descreve suas regras de privacidade, mas não consegue produzir o registro que a ANPD de fato pede.
- A ANPD recebeu 362 comunicações de incidente em 2025 — quase uma por dia
- As multas da LGPD chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração
- A lacuna que mais passa despercebida: visibilidade do dado depois que ele chega ao equipamento do colaborador, não antes
Uma empresa que diz “estamos em conformidade com a LGPD” costuma dizer que tem uma política de privacidade arquivada.
A LGPD não pede uma política. Ela pede evidência.
Evidência de qual colaborador podia acessar determinado dado pessoal, quando, a partir de qual equipamento, e o que fez com ele depois.
A maioria das empresas não consegue reconstruir esse rastro nem para um único notebook, muito menos para o parque inteiro.
A lacuna fica invisível até a ANPD, um cliente ou um incidente cobrarem essa prova — e aí já é tarde para construí-la retroativamente.
A lacuna de conformidade que ninguém orça
O jurídico escreve a política. O TI deveria aplicá-la. Na prática, a aplicação costuma parar no firewall e na VPN — no perímetro, não no endpoint onde o dado realmente está.
É dessa divisão que vêm os números abaixo.
Por que o dado no endpoint é tão difícil de rastrear
Dado pessoal não fica parado num único sistema. Ele se move — para planilhas, downloads, prints de tela, contas de nuvem pessoais. Cada movimento é uma cópia que o log de acesso original não registra.
| Categoria de dado | Onde costuma parar | Visível para o TI hoje? | O que a LGPD exige |
|---|---|---|---|
| Cadastro de cliente exportado para planilha | Disco local, pasta de downloads | Raramente | Log de acesso, prazo de retenção, exclusão sob pedido |
| Ficha de ex-funcionário | Drives compartilhados, notebooks antigos | Às vezes | Prova de que o acesso foi revogado no desligamento |
| Print e export de painéis | Área de trabalho, anexo de e-mail | Quase nunca | Mesma proteção do dado de origem |
| Dado sincronizado com nuvem pessoal | Navegador, clientes de sincronização | Raramente | Controle de transferência documentado |
O que fica invisível
Cópias que ninguém rastreou
Uma planilha exportada uma vez, há três anos, por alguém que já saiu da empresa, pode continuar num notebook que nunca foi formatado. Para a LGPD não importa que tenha sido sem querer.
Acesso que ninguém revogou
Mudança de cargo e desligamento são os momentos em que a revisão de acesso deveria acontecer. Sem um registro automático, “revogamos o acesso” é uma alegação, não uma evidência.
A ANPD não pergunta o que diz a sua política. Ela pede o log que mostra a política sendo cumprida, num equipamento específico, numa data específica. Se esse log não existe, a política vale tão pouco quanto se não existisse.
“As empresas precisam estar sempre atentas ao que é acessado em seus equipamentos, por quem, e quais medidas de segurança se aplicam a esse dado. Ter essa visibilidade, com indicadores claros em vez de suposição, é o que transforma uma política em algo que dá para gerenciar de verdade,” comenta Carine Randt, especialista INGITE certificada na ISO/IEC 27001.
Uma política te protege no papel. Um log te protege numa fiscalização.
Não é problema de pessoas, é problema de visibilidade
A maioria dos incidentes de LGPD não é maliciosa. É um colaborador bem-intencionado movendo dado para resolver algo mais rápido, sem saber a consequência de conformidade.
Culpar o colaborador não fecha a lacuna. Enxergar o movimento no momento em que ele acontece, fecha.
Como fechar a lacuna, em quatro passos
- Mapeietodo equipamento e conta que pode tocar dado pessoal, não só os sistemas onde ele foi projetado para ficar.
- Classifiqueo que conta como dado pessoal sob a LGPD em cada endpoint — export, cópia e print incluídos.
- Monitore e alerteno momento em que o dado se move para onde não deveria, em vez de descobrir isso numa fiscalização.
- Provesendo capaz de exportar o log de acesso e atividade de qualquer equipamento, sob demanda, sem correria.
Um log pronto para auditoria só serve se for à prova de alteração e vinculado ao equipamento, não só à conta de usuário — login compartilhado e credencial em cache são exatamente o que derruba uma conformidade autodeclarada sob escrutínio.
Como a INGITE ajuda
Cloud EndPoint Security
Transforma a política em aplicação real: eventos de acesso, políticas de segurança e alertas registrados no nível do equipamento, para que “protegemos dado pessoal” tenha um log por trás.
Cloud Digital Forensics Investigation
Quando a ANPD ou um incidente forçam a pergunta, é isso que permite reconstruir exatamente o que aconteceu num equipamento — com evidência que se sustenta, não um chute educado.
Você conseguiria produzir a evidência amanhã?
Não a política. O log.
- Se a ANPD perguntasse hoje, você mostraria quem acessou o dado de um cliente específico nos últimos 90 dias?
- Você tem prova de que o acesso foi revogado no dia do desligamento, não “por volta” desse dia?
- Você saberia dizer se algum dado pessoal foi copiado para um dispositivo pessoal essa semana?
- Se a resposta a qualquer uma dessas for “provavelmente”, o risco é mesmo do colaborador, ou é da visibilidade que você não tem?
Se a resposta honesta for não, o problema nunca foi a política. Foi nunca conseguir enxergar o que a política deveria controlar.
O que a LGPD realmente exige das empresas sobre dado tratado por colaboradores?
Como o TI prova conformidade com a LGPD numa fiscalização?
Qual o valor das multas da LGPD em 2025?
Como o monitoramento de endpoint ajuda na conformidade com a LGPD?
Torne a conformidade com a LGPD provável, não só escrita
A Cloud EndPoint Security dá ao seu time o log de acesso e atividade que a ANPD de fato pede.