Muita empresa brasileira já fez a parte jurídica da lei de proteção de dados: contratou um advogado, escreveu uma política de privacidade, colocou o aviso de cookies no site. E parou aí. A rede continua exatamente como estava, com a mesma pasta compartilhada que todo mundo acessa e o mesmo backup que ninguém testa.
O problema é que a lei brasileira de proteção de dados (LGPD) trata de algo mais largo do que contrato. Segundo a autoridade nacional de proteção de dados, dado pessoal é qualquer informação relacionada a uma pessoa identificada ou identificável — nome, e-mail, CPF, foto, endereço, e também o cadastro de um funcionário ou de um cliente antigo que ninguém mais usa. Existe ainda uma categoria mais sensível: dado sobre saúde, biometria, opinião política ou religião, que pede um cuidado maior porque o risco de dano é maior.
Isso muda a pergunta que vale fazer. Não é "meu contrato está redondo?" — geralmente está. É "eu sei dizer onde cada um desses dados está guardado hoje, quem chega até ele e o que aconteceu com ele na última semana?" Para a maior parte das empresas de pequeno e médio porte, a resposta sincera é não — e é exatamente aí que a lei cobra o preço de infraestrutura, não de papel.
Onde o dado pessoal realmente mora
Dado pessoal não vive só num sistema. Ele está espalhado: na planilha de recursos humanos, no sistema de vendas, no formulário do site, na câmera da entrada, no notebook de quem trabalha de casa, na caixa de e-mail de quem saiu da empresa há dois anos e ainda tem acesso ativo. Cada um desses lugares é um ponto onde a lei se aplica.
O primeiro problema de infraestrutura, quase sempre invisível até dar errado, é não ter um inventário de onde essas informações estão. Sem essa lista, a empresa não sabe quanto dado pessoal tem, em quantos lugares ele está copiado, nem quem tem motivo para acessá-lo. É a mesma lógica por trás do primeiro controle de segurança recomendado internacionalmente para qualquer empresa: manter um registro dos equipamentos e sistemas usados, porque não dá para proteger o que não está listado.
Esse inventário não é um documento que se escreve uma vez e guarda na gaveta. Ele precisa acompanhar o que muda: um sistema novo, um fornecedor que passou a receber dado de cliente, um funcionário que saiu e deixou a conta ativa. Toda empresa que responde "não sei" para "onde está o cadastro de clientes" tem, ali, o primeiro problema da lei de proteção de dados — e ele não se resolve com uma cláusula no contrato.
O segundo problema, ligado ao primeiro, é quem chega até esse dado. Numa empresa pequena é comum que o acesso seja largo por hábito: todo mundo entra na mesma pasta, ninguém tira o acesso de quem trocou de função, o estagiário do financeiro enxerga a mesma planilha que o diretor. Cada acesso a mais que não tem motivo de trabalho é um risco a mais que a empresa carrega sem precisar.
Por que ter política não é ter controle
O jeito comum de reagir à lei foi jurídico: contrato revisado, política publicada, aviso no rodapé do site. Isso resolve a parte documental — e é necessário — mas não muda uma linha do que acontece na rede da empresa no dia a dia. A pasta continua aberta, o backup continua sem teste, o ex-funcionário continua com a senha ativa.
O risco de tratar isso como resolvido aparece quando um problema de segurança de fato acontece. Um levantamento de 2026 sobre sequestro de dados no Brasil, feito com empresas atingidas nos doze meses anteriores, mostrou que em 38% dos ataques em que os arquivos foram embaralhados também houve roubo de dado antes disso — um aumento em relação ao ano anterior. Ou seja: o mesmo incidente que já é grave por si só também vira, com frequência crescente, um vazamento de dado pessoal que a empresa precisa conseguir explicar.
É nesse momento que a diferença entre "ter política" e "ter controle" aparece com todo o peso. Uma empresa que só tem o documento jurídico não sabe responder perguntas básicas quando o problema chega: quais dados pessoais estavam naquele sistema, quem tinha acesso a ele, quando o acesso foi feito pela última vez. Sem esse registro, cada pergunta vira um levantamento manual, feito sob pressão, no meio de uma crise.
Outro jeito comum, tão frequente quanto o anterior, é comprar uma ferramenta de segurança nova e achar que o problema de acesso está resolvido porque existe um produto cuidando dele. Uma ferramenta sem ninguém acompanhando o que ela mostra, e sem um processo que diga quem pode acessar o quê, funciona só um pouco melhor do que não ter nada.
O que precisa existir na prática
Cumprir a parte de infraestrutura da lei de proteção de dados depende de mecanismos que funcionam todos os dias, não de um documento assinado uma vez.
Um inventário de onde o dado pessoal está guardado. Sistemas, planilhas, pastas compartilhadas, e-mail, backup — tudo o que guarda informação de cliente ou de funcionário precisa estar numa lista viva, atualizada quando algo muda.
Acesso por necessidade, não acesso geral. Cada pessoa vê só o que o trabalho dela exige. Quando alguém muda de função ou sai da empresa, o acesso muda ou é cortado no mesmo dia — não meses depois.
Registro de quem acessou o quê. Um sistema de vendas, um servidor de arquivos ou uma caixa de e-mail que não guarda esse histórico deixa a empresa sem resposta na primeira pergunta que aparece depois de um problema.
Cópia de segurança testada, e não só feita. No mesmo levantamento sobre sequestro de dados no Brasil, 85% das empresas atingidas usaram backup para recuperar os arquivos embaralhados — uma alta considerável frente ao ano anterior. Backup que existe mas nunca foi testado é uma suposição, não uma proteção.
Um responsável único cuidando disso. Inventário, acesso e backup precisam de alguém que olhe o conjunto — não três fornecedores diferentes que cuidam de um pedaço cada um e nenhum do todo.
É assim que a Skills IT trabalha: com inventário do que o cliente guarda, acesso corrigido por necessidade e cópia de segurança testada com regularidade, em vez de um documento parado numa pasta.
O ganho para quem decide
O ganho de arrumar essa parte não é jurídico, é operacional. Uma empresa que sabe onde o dado pessoal está e quem acessa cada sistema resolve um problema de segurança em horas, não em semanas — porque não precisa reconstruir do zero o que aconteceu antes de agir.
Isso também muda o que a empresa consegue mostrar quando é cobrada. A comunicação de um incidente de segurança à autoridade exige informar o que foi afetado, o risco envolvido e o que já foi feito para reduzir o problema. Uma empresa com inventário e registro de acesso responde a isso com dado real; uma empresa sem nenhum dos dois responde com estimativa — e estimativa, numa cobrança formal, pesa contra quem só tem isso para mostrar.
Tem ainda um ganho financeiro direto: menos hora de equipe reconstruindo o que aconteceu manualmente, menos risco de um acesso indevido a dado sensível de cliente ou funcionário, e menos tempo parado até a empresa voltar a operar normalmente. Governança de dado, na prática, é custo de TI evitado, não uma obrigação separada dela.
Por fim, existe um ganho de decisão: quando o inventário já existe, quem decide sabe exatamente o tamanho do problema no momento em que ele aparece, em vez de descobrir aos poucos, semana após semana, o quanto realmente estava exposto.
Um roteiro para começar
Antes de revisar o contrato de novo, vale entender o que a infraestrutura da empresa consegue responder hoje.
- A empresa sabe listar, sem pesquisar, onde o dado de cliente e de funcionário está guardado? Se a resposta exige abrir vários sistemas para checar, o inventário não existe de fato.
- Alguém que trocou de função ou saiu da empresa ainda tem acesso a algum sistema? Se a resposta é "provavelmente sim, mas ninguém confere", o acesso está maior do que deveria.
- O backup já foi testado com uma recuperação de verdade, ou só roda todo dia sem ninguém abrir o resultado? Backup nunca testado é uma cópia, não uma garantia.
- Existe registro de quem acessou um sistema com dado pessoal na última semana? Sem esse registro, qualquer pergunta sobre um incidente vira suposição.
- Se um problema de segurança acontecesse hoje, quem na empresa saberia dizer o tamanho exato do que foi afetado? Se a resposta demora, a infraestrutura ainda não acompanhou a lei — só o contrato acompanhou.
