LGPD em sistemas internos: o mínimo que o sistema precisa ter

Quando se fala em LGPD, é comum pensar no site e no banner de cookies. Mas boa parte dos dados pessoais de uma empresa está nos sistemas internos: cadastro de clientes, contatos comerciais, dados de funcionários, fotos e localização da equipe em campo.

Este artigo não substitui a orientação jurídica, mas reúne os cuidados técnicos que um sistema interno precisa ter para ajudar a empresa a cumprir a lei.

Acesso por perfil

Cada pessoa deve ver apenas os dados de que precisa para trabalhar. O comercial não precisa ver dados de funcionários, e o técnico em campo não precisa ver o financeiro.

O controle deve valer no servidor, e não só na tela. Esconder um botão não impede que alguém acesse o dado por outro caminho.

Registro de quem fez o quê

• Quem acessou e alterou dados pessoais, e quando.
• Quem exportou relatórios com dados pessoais.
• Alterações de permissão e de cadastro de usuários.

Esse registro ajuda a investigar incidentes e mostra que a empresa controla o uso dos dados.

Dados sensíveis

Biometria, saúde e alguns outros dados são considerados sensíveis pela LGPD e exigem cuidados específicos. Se o sistema usa reconhecimento facial no ponto, por exemplo, a finalidade precisa estar definida, a equipe precisa ser informada e o acesso a esses dados deve ser ainda mais restrito.

Coletar só o necessário

Cada campo de um formulário deve ter um motivo. Dados que não são usados aumentam o risco sem trazer benefício. Revise os cadastros e retire o que não tem finalidade clara.

Por quanto tempo guardar

Defina prazos de guarda para cada tipo de dado, respeitando obrigações legais e fiscais. Depois do prazo, o sistema deve permitir eliminar ou anonimizar os dados, de preferência de forma automática e registrada.

Direitos dos titulares

Clientes, contatos e funcionários podem pedir para ver, corrigir ou eliminar seus dados. O sistema precisa permitir localizar tudo o que existe sobre uma pessoa e atender esses pedidos sem depender de buscas manuais em várias telas.

Checklist rápido

1. Acesso por perfil, validado no servidor.
2. Registro de acessos e alterações em dados pessoais.
3. Cuidado extra com dados sensíveis, como biometria.
4. Apenas os campos necessários em cada cadastro.
5. Prazos de guarda e eliminação definidos.
6. Forma simples de atender pedidos dos titulares.
7. Conexões criptografadas e cópias de segurança.

Próximo passo

Se você está planejando um sistema novo, é mais simples incluir esses cuidados desde o desenho do que adaptar depois. Veja como trabalhamos com desenvolvimento de software.