# LGPD em sistemas internos: o que revisar

> O que revisar na LGPD em sistemas internos: telas, permissões, relatórios, exportações e logs, com um checklist pronto para TI e o encarregado de dados.

Autor: José Carlos Maciel, Fundador e desenvolvedor. Publicado em 2026-10-30, atualizado em 2026-10-30.
Fonte: https://boosting.tech/blog/lgpd-em-sistemas-internos-o-que-revisar/

**Resposta rápida:** Revisar a LGPD em um sistema interno começa pelas telas, pelos relatórios e pelos logs. Confira quem vê cada dado pessoal, o que sai em PDF ou planilha, o que o log grava e por quanto tempo fica guardado. O checklist deste artigo organiza essa passagem tela a tela, com a operação e o encarregado na mesma conversa.

Sexta-feira, fim de tarde. O jurídico pede à TI uma lista: quais telas do sistema mostram CPF, quem pode exportar a planilha de visitantes e se o log guarda a visualização de documentos anexados. Ninguém tem a resposta pronta. O sistema roda há anos, a portaria e a comissão usam todo dia, e a política de privacidade da empresa fala em princípios gerais. Falta o mapa do que o software faz de fato com o dado pessoal.

Este artigo entrega esse mapa em formato de revisão. Você vai ver o que a LGPD pede quando o sistema é interno, por que telas, relatórios e logs concentram o risco, o que entra e o que fica de fora da passagem técnica, um checklist pronto e um roteiro para aplicar na prática. Se a sua dúvida ainda é entre manter o que existe e trocar o sistema, comece pelo artigo sobre [modernização de sistema legado](/blog/modernizacao-de-sistema-legado/). Se ainda está decidindo o modelo de contratação, veja [sistema sob medida ou software pronto](/blog/sistema-sob-medida-ou-software-pronto/).

## O que é a LGPD aplicada a sistemas internos?

A LGPD aplicada a sistemas internos é a leitura da [Lei nº 13.709/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) sobre o software que a própria empresa usa para operar: portaria, agendamento, inspeção, pedido de bolsa, ordem de serviço, central de emergência. O sistema trata dados pessoais quando identifica ou pode identificar uma pessoa natural, seja funcionário, prestador, visitante, candidato, paciente ou passageiro.

A lei define tratamento de forma ampla: coleta, armazenamento, uso, acesso, transmissão, eliminação e outras operações com o dado. O [Guia da LGPD da ANPD](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_lgpd_final.pdf), a Autoridade Nacional de Proteção de Dados, organiza esses conceitos para quem precisa aplicar a lei no dia a dia. Para um sistema interno, isso significa olhar além do site institucional. O risco costuma estar na tela da portaria, no PDF do relatório de campo e no log que grava quem abriu o anexo.

Sistemas que desenvolvemos e mantemos concentram dado pessoal em pontos previsíveis. No [controle de acesso industrial](/casos/controle-de-acesso-industrial/), o cadastro de visitantes e prestadores, o crachá e o histórico de entrada e saída. Na [gestão de bolsas de estudo](/casos/gestao-de-bolsas-de-estudo/), o grupo familiar, a renda, os documentos e a trilha de pareceres. Em ambos, o desenho precisa dizer quem vê o quê e o que fica registrado.

## Por que telas, relatórios e logs concentram o risco?

Telas, relatórios e logs concentram o risco porque é neles que o dado pessoal aparece para pessoas reais, sai da base em arquivo e deixa rastros que também são dados. Uma regra de banco bem desenhada não basta se a exportação ignora o filtro de permissão ou se o suporte abre qualquer cadastro com um login amplo.

Na prática, os problemas que mais vemos em revisões são estes:

- A tela de listagem mostra colunas pessoais demais para o perfil que só precisa confirmar a presença.
- O botão de exportar gera uma planilha completa, inclusive de outras unidades ou empresas.
- Relatórios vão por e-mail com CPF, telefone ou endereço sem necessidade para aquela finalidade.
- O log guarda senha, token ou o conteúdo inteiro do documento, quando bastaria o identificador do evento.
- Ninguém sabe por quanto tempo o backup, a planilha baixada ou o log antigo precisam existir.
- Quando o titular pede acesso ou correção, a equipe não sabe em quais tabelas e anexos procurar.

A LGPD pede, entre outros pontos, finalidade, necessidade, segurança e responsabilização. O artigo 46 da lei fala em medidas técnicas e administrativas para proteger o dado de acesso não autorizado e de tratamento inadequado. O artigo 37 pede o registro das operações de tratamento. Nada disso obriga um software específico. Obriga saber o que o sistema faz e conseguir demonstrar.

Quando o tratamento pode gerar alto risco aos titulares, a ANPD orienta avaliar a elaboração de um [Relatório de Impacto à Proteção de Dados Pessoais (RIPD)](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/relatorio-de-impacto-a-protecao-de-dados-pessoais-ripd). O relatório descreve tipos de dados, metodologia de segurança e medidas de mitigação. A revisão de telas, relatórios e logs alimenta esse documento com fatos do sistema, em vez de afirmações genéricas.

## O que entra na revisão técnica e o que fica de fora?

A revisão técnica cobre o que o software expõe, grava e exporta. A decisão sobre base legal, política de privacidade e comunicação com o titular fica com o controlador (a empresa) e com o encarregado ou o jurídico. A tabela separa os dois lados para a reunião não misturar código com parecer.

| Ponto | Entra na revisão do sistema | Fica com jurídico / encarregado |
| --- | --- | --- |
| Telas | Quem vê cada campo; mascaramento; busca restrita | Se a coleta daquele campo tem base legal e finalidade |
| Relatórios | Permissão para gerar; colunas; destino do arquivo | Prazo de guarda da cópia fora do sistema |
| Logs | Eventos gravados; quem acessa o log; retenção técnica | Política de auditoria e resposta a incidente |
| Anexos | Armazenamento privado; registro de visualização | Classificação do documento e regra de eliminação |
| Multiempresa | Isolamento por empresa ou unidade | Contrato e papéis de controlador e operador |
| Pedido do titular | Onde achar o dado e como exportar ou corrigir | Prazo de resposta e canal oficial com o titular |

O que normalmente fica de fora do primeiro ciclo é reescrever o sistema inteiro, implantar ferramentas de DLP de rede ou montar o programa completo de governança. Esses temas importam, mas a passagem por telas, exportações e logs já remove buracos concretos. No caso de bolsas, por exemplo, os arquivos ficam em armazenamento privado e o sistema registra a visualização de anexos. No controle de acesso, cada empresa enxerga apenas os próprios registros e o histórico guarda quem aprovou ou negou. São decisões de produto que sustentam a adequação no uso diário.

## Qual checklist usar para revisar telas, relatórios e logs?

O checklist abaixo reúne verificações que usamos quando olhamos um sistema interno com dado pessoal. Serve para um sistema próprio, para um legado em [sustentação](/servicos/sustentacao-e-modernizacao/) e para especificar o que um sistema novo precisa ter desde o começo.

### Checklist de revisão LGPD em sistema interno

Use com TI, com quem opera o sistema e com o encarregado de dados (ou quem cumpre esse papel na empresa). O checklist é um ponto de partida técnico. Não substitui parecer jurídico nem a política de privacidade da organização. Marque o que já existe e anote o que falta antes de pedir mudança no código.


**Telas e permissões**

- [ ] Cada tela que mostra nome, documento, contato, foto ou dado de saúde tem perfil de acesso definido
- [ ] Um usuário de uma empresa ou unidade não vê cadastros de outra empresa ou unidade
- [ ] Campos sensíveis (documento, renda, saúde, biometria) só aparecem para quem precisa daquela função
- [ ] A tela de busca não devolve resultados de pessoas fora do escopo do usuário logado
- [ ] Existe forma de ocultar ou mascarar dado pessoal em telas de apoio (suporte, operação de campo)

**Relatórios e exportações**

- [ ] Todo relatório com dado pessoal exige permissão explícita, não só acesso à tela principal
- [ ] Exportações em PDF, planilha ou CSV herdam o mesmo filtro de permissão da tela
- [ ] Relatórios enviados por e-mail não levam colunas pessoais além do necessário para a finalidade
- [ ] Há registro de quem gerou ou baixou um relatório com dado pessoal
- [ ] Planilhas baixadas não ficam como cópia permanente sem prazo de descarte definido pela empresa

**Logs e trilha de auditoria**

- [ ] O sistema registra login, alteração de cadastro, aprovação, visualização de anexo e exclusão
- [ ] Cada evento de auditoria guarda quem fez, quando e o que mudou, sem gravar senha ou token
- [ ] Logs com dado pessoal têm acesso restrito (segurança, auditoria, encarregado)
- [ ] O prazo de retenção dos logs está escrito e alinhado à finalidade de segurança e auditoria
- [ ] Dá para localizar o histórico de um titular específico quando a empresa precisar responder a um pedido

**Retenção e resposta ao titular**

- [ ] A finalidade de cada cadastro pessoal está descrita (acesso à base, bolsa, serviço, emergência)
- [ ] Há regra de quanto tempo o dado fica ativo depois que o processo termina
- [ ] Anexos com documento de identidade ficam em armazenamento privado, não em pasta pública
- [ ] A empresa sabe quais telas e tabelas consultar para atender acesso, correção ou eliminação
- [ ] [object Object]

Marque item a item com a tela aberta. Peça a um usuário de cada perfil para tentar ver o que não deveria ver. Gere o relatório mais usado e confira as colunas. Abra o log e veja se dá para auditar sem expor o conteúdo sensível demais. Anote falhas com print da tela e com o perfil usado. Esse pacote vira escopo claro para o time de desenvolvimento ou para o fornecedor.

## Como colocar a revisão em prática?

A revisão funciona melhor em ciclos curtos, começando pelo módulo com mais dado pessoal e com mais gente usando.

1. Liste os módulos e as pessoas. Anote portaria, RH, QSMS, comissão de análise, operação de campo e suporte. Para cada um, escreva quais cadastros pessoais eles abrem.
2. Classifique os dados na tela. Nome e crachá são uma coisa. CPF, renda, documento de identidade, dado de saúde ou biometria pedem cuidado maior. Marque o que é sensível segundo a própria LGPD e a política da empresa.
3. Teste permissões de verdade. Entre com login de prestador, de empresa instalada, de analista e de administrador. Tente buscar alguém de outra unidade. Tente exportar.
4. Confira relatórios e e-mails automáticos. Veja o PDF gerado, a planilha e qualquer envio agendado. Corte colunas que não servem à finalidade daquele relatório.
5. Defina o que o log precisa guardar. Login, alteração, aprovação, visualização de anexo e exclusão costumam bastar para auditoria. Evite gravar segredo de autenticação.
6. Escreva prazos de retenção com o encarregado. Separar dado ativo do processo, arquivo histórico e log de segurança. Sem prazo escrito, ninguém apaga com segurança.
7. Monte o roteiro de resposta ao titular. Quais telas consultar, quem executa correção ou eliminação, como registrar o atendimento. As [perguntas frequentes da ANPD](https://www.gov.br/anpd/pt-br/acesso-a-informacao/perguntas-frequentes) ajudam a alinhar a linguagem com o que o titular pode pedir.
8. Priorize os ajustes no código. Isolamento de dados entre empresas, permissão na exportação e registro de visualização de anexo costumam vir primeiro porque bloqueiam vazamento no uso normal.

Em operações de campo, o mesmo critério vale para o aplicativo ou o formulário offline. O relatório que sobe do campo para o escritório carrega nome de executante e, às vezes, de testemunha. Trate esse fluxo como parte do sistema, não como exceção. O artigo sobre [relatório de serviço automático](/blog/relatorio-de-servico-automatico/) mostra o caminho do registro em campo ao PDF; na revisão de LGPD, a pergunta é quais colunas e anexos esse PDF realmente precisa.

## E se o sistema é legado, multiempresa ou guarda muitos anexos?

O caminho padrão muda em três situações comuns.

Quando o sistema é legado, a revisão ainda começa pelas telas e pelas exportações, mesmo que o código seja difícil de mudar. Muitas vezes dá para restringir perfil, desligar um botão de exportar ou tirar coluna de relatório sem reescrever o núcleo. Se o isolamento entre empresas não existe no modelo de dados, isso vira item de modernização por partes, no mesmo espírito do que descrevemos no artigo de [sistema legado](/blog/modernizacao-de-sistema-legado/).

Quando várias empresas compartilham a mesma base, como no complexo industrial com empresas instaladas e terceiras, o isolamento por empresa é requisito de produto. Cada solicitante vê só os próprios visitantes e pedidos. Sem isso, a planilha compartilhada ou o login amplo vira o ponto frágil. O desenho do [controle de acesso de terceiros](/blog/controle-de-acesso-de-terceiros/) e o [caso de portaria industrial](/casos/controle-de-acesso-industrial/) partem desse isolamento.

Quando o sistema guarda muitos anexos (RG, comprovante, laudo, foto), o armazenamento privado e o registro de quem abriu o arquivo importam tanto quanto a tela. Na [gestão de bolsas](/casos/gestao-de-bolsas-de-estudo/), o candidato envia documentos do grupo familiar e a comissão analisa com parecer registrado. A proteção do arquivo e a trilha de quem viu o anexo são parte do processo, não um extra de infraestrutura.

Área sem sinal, planilha paralela e e-mail com anexo pessoal também fogem do caminho padrão. Se a operação ainda baixa a lista do dia e manda por mensagem, a revisão do sistema precisa incluir o processo. Caso contrário, o software fica adequado e o vazamento continua no celular da equipe.

## Quando isso não basta?

A revisão de telas, relatórios e logs cobre o que o sistema mostra e registra. Ela não substitui o inventário formal de tratamentos, o parecer sobre base legal, o contrato com operadores, o plano de resposta a incidente nem, quando couber, o RIPD. Também não resolve sozinha um legado sem controle de acesso real ou uma cultura de compartilhar planilha por hábito.

Nesses pontos, envolva o encarregado de dados e o jurídico da empresa. Se o sistema precisa de isolamento entre unidades, trilha de auditoria ou modernização por módulos, uma [empresa de software customizado](/servicos/sistemas-web-sob-medida/) que já mantém sistemas com dado pessoal consegue apoiar o diagnóstico técnico. Em [sustentação e modernização](/servicos/sustentacao-e-modernizacao/), o trabalho costuma começar exatamente por permissões, exportações e logs.

Se quiser conversar sobre o sistema que a sua operação usa hoje, oferecemos um diagnóstico gratuito para mapear onde o dado pessoal aparece e o que dá para ajustar sem inventar promessa jurídica. A conversa é técnica e cabe na agenda de TI com o encarregado na mesa.

## Perguntas frequentes sobre LGPD em sistemas internos

### Sistema interno de uso só da empresa também precisa observar a LGPD?

Sim. A LGPD se aplica ao tratamento de dados pessoais no Brasil, inclusive em sistemas usados só pela equipe interna, quando há dado de funcionários, prestadores, visitantes, candidatos ou clientes pessoas físicas. O fato de o sistema não ser um site público não tira a obrigação. O que muda é o desenho das medidas: permissão, retenção, segurança e registro passam a ser o centro da adequação.

### Preciso de um RIPD para todo sistema interno?

Não automaticamente. A ANPD recomenda o RIPD quando o tratamento pode gerar alto risco aos titulares, e a LGPD prevê hipóteses em que a autoridade pode exigir o relatório. Critérios como larga escala, dado sensível, vigilância em área acessível ao público ou decisão só automatizada aumentam a chance de alto risco. A revisão de telas e logs ajuda a descrever o tratamento com precisão para essa avaliação.

### O que um log precisa gravar para ajudar na LGPD?

O log útil para auditoria e segurança costuma guardar quem fez a ação, quando, em qual registro e se a ação deu certo, sem armazenar senha ou o conteúdo completo de documentos sensíveis. Visualização de anexo, alteração de cadastro, aprovação e exclusão são eventos frequentes em sistemas de operação. O prazo de retenção do log deve estar escrito e alinhado à finalidade de segurança, não infinito por omissão.

### Exportar planilha com CPF para a diretoria viola a LGPD?

Depende da finalidade, da necessidade e de quem recebe. Se a diretoria precisa só de totais, a planilha com CPF de todos os visitantes é excesso. Se o envio é pontual, com permissão, colunas mínimas e prazo de descarte da cópia, o risco cai. Na revisão, o ponto prático é: a exportação exige permissão própria e deixa rastros de quem gerou o arquivo.

### Como atender um pedido de acesso ou eliminação se o dado está em vários módulos?

Mapeie antes onde o titular aparece: cadastro, anexos, relatórios gerados, tickets e backups. O atendimento combina a decisão do controlador (o que pode eliminar, o que a lei ou o contrato manda guardar) com a operação técnica no sistema. Ter o mapa de telas e tabelas pronto evita improvisar sob prazo. O checklist deste artigo já pede esse roteiro como item explícito.

### Planilha na nuvem da equipe conta como sistema interno para a revisão?

Para o risco, sim. Se a operação trata dado pessoal numa planilha compartilhada, valem as mesmas perguntas de quem acessa, o que exporta e por quanto tempo fica. Muitas empresas começam a adequação trocando essa planilha por um [sistema web sob medida](/servicos/sistemas-web-sob-medida/) com login, permissão e histórico. A revisão serve nos dois cenários: ela mostra o buraco antes de você escolher a ferramenta.

## Referências

- [Lei nº 13.709/2018: Lei Geral de Proteção de Dados Pessoais (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm)
- [ANPD: Relatório de Impacto à Proteção de Dados Pessoais (RIPD)](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/relatorio-de-impacto-a-protecao-de-dados-pessoais-ripd)
- [ANPD: Guia da Lei Geral de Proteção de Dados Pessoais (LGPD)](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_lgpd_final.pdf)
- [ANPD: Perguntas frequentes sobre a LGPD](https://www.gov.br/anpd/pt-br/acesso-a-informacao/perguntas-frequentes)