LGPD em sistemas internos: o que revisar

Sexta-feira, fim de tarde. O jurídico pede à TI uma lista: quais telas do sistema mostram CPF, quem pode exportar a planilha de visitantes e se o log guarda a visualização de documentos anexados. Ninguém tem a resposta pronta. O sistema roda há anos, a portaria e a comissão usam todo dia, e a política de privacidade da empresa fala em princípios gerais. Falta o mapa do que o software faz de fato com o dado pessoal.

Este artigo entrega esse mapa em formato de revisão. Você vai ver o que a LGPD pede quando o sistema é interno, por que telas, relatórios e logs concentram o risco, o que entra e o que fica de fora da passagem técnica, um checklist pronto e um roteiro para aplicar na prática. Se a sua dúvida ainda é entre manter o que existe e trocar o sistema, comece pelo artigo sobre modernização de sistema legado. Se ainda está decidindo o modelo de contratação, veja sistema sob medida ou software pronto.

O que é a LGPD aplicada a sistemas internos?

A LGPD aplicada a sistemas internos é a leitura da Lei nº 13.709/2018 sobre o software que a própria empresa usa para operar: portaria, agendamento, inspeção, pedido de bolsa, ordem de serviço, central de emergência. O sistema trata dados pessoais quando identifica ou pode identificar uma pessoa natural, seja funcionário, prestador, visitante, candidato, paciente ou passageiro.

A lei define tratamento de forma ampla: coleta, armazenamento, uso, acesso, transmissão, eliminação e outras operações com o dado. O Guia da LGPD da ANPD, a Autoridade Nacional de Proteção de Dados, organiza esses conceitos para quem precisa aplicar a lei no dia a dia. Para um sistema interno, isso significa olhar além do site institucional. O risco costuma estar na tela da portaria, no PDF do relatório de campo e no log que grava quem abriu o anexo.

Sistemas que desenvolvemos e mantemos concentram dado pessoal em pontos previsíveis. No controle de acesso industrial, o cadastro de visitantes e prestadores, o crachá e o histórico de entrada e saída. Na gestão de bolsas de estudo, o grupo familiar, a renda, os documentos e a trilha de pareceres. Em ambos, o desenho precisa dizer quem vê o quê e o que fica registrado.

Por que telas, relatórios e logs concentram o risco?

Telas, relatórios e logs concentram o risco porque é neles que o dado pessoal aparece para pessoas reais, sai da base em arquivo e deixa rastros que também são dados. Uma regra de banco bem desenhada não basta se a exportação ignora o filtro de permissão ou se o suporte abre qualquer cadastro com um login amplo.

Na prática, os problemas que mais vemos em revisões são estes:

• A tela de listagem mostra colunas pessoais demais para o perfil que só precisa confirmar a presença.
• O botão de exportar gera uma planilha completa, inclusive de outras unidades ou empresas.
• Relatórios vão por e-mail com CPF, telefone ou endereço sem necessidade para aquela finalidade.
• O log guarda senha, token ou o conteúdo inteiro do documento, quando bastaria o identificador do evento.
• Ninguém sabe por quanto tempo o backup, a planilha baixada ou o log antigo precisam existir.
• Quando o titular pede acesso ou correção, a equipe não sabe em quais tabelas e anexos procurar.

A LGPD pede, entre outros pontos, finalidade, necessidade, segurança e responsabilização. O artigo 46 da lei fala em medidas técnicas e administrativas para proteger o dado de acesso não autorizado e de tratamento inadequado. O artigo 37 pede o registro das operações de tratamento. Nada disso obriga um software específico. Obriga saber o que o sistema faz e conseguir demonstrar.

Quando o tratamento pode gerar alto risco aos titulares, a ANPD orienta avaliar a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD). O relatório descreve tipos de dados, metodologia de segurança e medidas de mitigação. A revisão de telas, relatórios e logs alimenta esse documento com fatos do sistema, em vez de afirmações genéricas.

O que entra na revisão técnica e o que fica de fora?

A revisão técnica cobre o que o software expõe, grava e exporta. A decisão sobre base legal, política de privacidade e comunicação com o titular fica com o controlador (a empresa) e com o encarregado ou o jurídico. A tabela separa os dois lados para a reunião não misturar código com parecer.

O que normalmente fica de fora do primeiro ciclo é reescrever o sistema inteiro, implantar ferramentas de DLP de rede ou montar o programa completo de governança. Esses temas importam, mas a passagem por telas, exportações e logs já remove buracos concretos. No caso de bolsas, por exemplo, os arquivos ficam em armazenamento privado e o sistema registra a visualização de anexos. No controle de acesso, cada empresa enxerga apenas os próprios registros e o histórico guarda quem aprovou ou negou. São decisões de produto que sustentam a adequação no uso diário.

Qual checklist usar para revisar telas, relatórios e logs?

O checklist abaixo reúne verificações que usamos quando olhamos um sistema interno com dado pessoal. Serve para um sistema próprio, para um legado em sustentação e para especificar o que um sistema novo precisa ter desde o começo.

Marque item a item com a tela aberta. Peça a um usuário de cada perfil para tentar ver o que não deveria ver. Gere o relatório mais usado e confira as colunas. Abra o log e veja se dá para auditar sem expor o conteúdo sensível demais. Anote falhas com print da tela e com o perfil usado. Esse pacote vira escopo claro para o time de desenvolvimento ou para o fornecedor.

Como colocar a revisão em prática?

A revisão funciona melhor em ciclos curtos, começando pelo módulo com mais dado pessoal e com mais gente usando.

1. Liste os módulos e as pessoas. Anote portaria, RH, QSMS, comissão de análise, operação de campo e suporte. Para cada um, escreva quais cadastros pessoais eles abrem.
2. Classifique os dados na tela. Nome e crachá são uma coisa. CPF, renda, documento de identidade, dado de saúde ou biometria pedem cuidado maior. Marque o que é sensível segundo a própria LGPD e a política da empresa.
3. Teste permissões de verdade. Entre com login de prestador, de empresa instalada, de analista e de administrador. Tente buscar alguém de outra unidade. Tente exportar.
4. Confira relatórios e e-mails automáticos. Veja o PDF gerado, a planilha e qualquer envio agendado. Corte colunas que não servem à finalidade daquele relatório.
5. Defina o que o log precisa guardar. Login, alteração, aprovação, visualização de anexo e exclusão costumam bastar para auditoria. Evite gravar segredo de autenticação.
6. Escreva prazos de retenção com o encarregado. Separar dado ativo do processo, arquivo histórico e log de segurança. Sem prazo escrito, ninguém apaga com segurança.
7. Monte o roteiro de resposta ao titular. Quais telas consultar, quem executa correção ou eliminação, como registrar o atendimento. As perguntas frequentes da ANPD ajudam a alinhar a linguagem com o que o titular pode pedir.
8. Priorize os ajustes no código. Isolamento de dados entre empresas, permissão na exportação e registro de visualização de anexo costumam vir primeiro porque bloqueiam vazamento no uso normal.

Em operações de campo, o mesmo critério vale para o aplicativo ou o formulário offline. O relatório que sobe do campo para o escritório carrega nome de executante e, às vezes, de testemunha. Trate esse fluxo como parte do sistema, não como exceção. O artigo sobre relatório de serviço automático mostra o caminho do registro em campo ao PDF; na revisão de LGPD, a pergunta é quais colunas e anexos esse PDF realmente precisa.

E se o sistema é legado, multiempresa ou guarda muitos anexos?

O caminho padrão muda em três situações comuns.

Quando o sistema é legado, a revisão ainda começa pelas telas e pelas exportações, mesmo que o código seja difícil de mudar. Muitas vezes dá para restringir perfil, desligar um botão de exportar ou tirar coluna de relatório sem reescrever o núcleo. Se o isolamento entre empresas não existe no modelo de dados, isso vira item de modernização por partes, no mesmo espírito do que descrevemos no artigo de sistema legado.

Quando várias empresas compartilham a mesma base, como no complexo industrial com empresas instaladas e terceiras, o isolamento por empresa é requisito de produto. Cada solicitante vê só os próprios visitantes e pedidos. Sem isso, a planilha compartilhada ou o login amplo vira o ponto frágil. O desenho do controle de acesso de terceiros e o caso de portaria industrial partem desse isolamento.

Quando o sistema guarda muitos anexos (RG, comprovante, laudo, foto), o armazenamento privado e o registro de quem abriu o arquivo importam tanto quanto a tela. Na gestão de bolsas, o candidato envia documentos do grupo familiar e a comissão analisa com parecer registrado. A proteção do arquivo e a trilha de quem viu o anexo são parte do processo, não um extra de infraestrutura.

Área sem sinal, planilha paralela e e-mail com anexo pessoal também fogem do caminho padrão. Se a operação ainda baixa a lista do dia e manda por mensagem, a revisão do sistema precisa incluir o processo. Caso contrário, o software fica adequado e o vazamento continua no celular da equipe.

Quando isso não basta?

A revisão de telas, relatórios e logs cobre o que o sistema mostra e registra. Ela não substitui o inventário formal de tratamentos, o parecer sobre base legal, o contrato com operadores, o plano de resposta a incidente nem, quando couber, o RIPD. Também não resolve sozinha um legado sem controle de acesso real ou uma cultura de compartilhar planilha por hábito.

Nesses pontos, envolva o encarregado de dados e o jurídico da empresa. Se o sistema precisa de isolamento entre unidades, trilha de auditoria ou modernização por módulos, uma empresa de software customizado que já mantém sistemas com dado pessoal consegue apoiar o diagnóstico técnico. Em sustentação e modernização, o trabalho costuma começar exatamente por permissões, exportações e logs.

Se quiser conversar sobre o sistema que a sua operação usa hoje, oferecemos um diagnóstico gratuito para mapear onde o dado pessoal aparece e o que dá para ajustar sem inventar promessa jurídica. A conversa é técnica e cabe na agenda de TI com o encarregado na mesa.