LGPD na gestão de documentos: 7 práticas para reduzir riscos

Contratos, fichas de admissão, comprovantes de residência, documentos de identificação, laudos: grande parte dos dados pessoais que uma empresa trata está dentro de documentos. Por isso, a adequação à Lei Geral de Proteção de Dados (Lei 13.709/2018) passa obrigatoriamente pela forma como esses documentos são recebidos, armazenados, acessados e descartados.

Reunimos sete práticas que reduzem riscos de forma concreta.

1. Saiba quais documentos você tem — e por quê

Não é possível proteger o que não se conhece. Faça um inventário dos tipos documentais por área, identificando quais dados pessoais cada um contém, qual a finalidade do tratamento e qual a base legal aplicável (execução de contrato, obrigação legal, legítimo interesse, consentimento etc.). Esse mapeamento também alimenta o registro das operações de tratamento exigido pelo art. 37 da LGPD.

2. Colete apenas o necessário

O princípio da necessidade limita o tratamento ao mínimo indispensável para a finalidade. Revise formulários e checklists: muitas empresas pedem cópias de documentos “por precaução” que nunca são usadas e só aumentam a exposição em caso de incidente.

3. Controle quem acessa cada documento

Pastas compartilhadas abertas para toda a empresa são uma das fontes mais comuns de vazamento. Adote controle de acesso por perfil, com o princípio do menor privilégio, autenticação forte e revisão periódica de permissões — especialmente quando colaboradores mudam de área ou deixam a empresa.

4. Registre as operações

Quem visualizou, baixou, alterou ou compartilhou um documento? Uma trilha de auditoria confiável ajuda a investigar incidentes, demonstrar conformidade à Autoridade Nacional de Proteção de Dados (ANPD) e responder a titulares com segurança.

5. Defina prazos de guarda e descarte com segurança

A LGPD determina que os dados sejam eliminados após o término do tratamento, ressalvadas hipóteses como cumprimento de obrigação legal ou exercício regular de direitos. Uma tabela de temporalidade que indique por quanto tempo cada tipo documental deve ser mantido evita dois erros opostos: descartar antes do prazo legal e guardar indefinidamente dados que já não deveriam existir. O descarte deve ser seguro e documentado.

6. Trate dados sensíveis com cuidado redobrado

Dados de saúde, biométricos, de origem racial ou étnica, entre outros, são dados pessoais sensíveis (art. 5º, II) e possuem bases legais mais restritas (art. 11). Atestados médicos, prontuários e selfies usadas em validação biométrica merecem segregação, criptografia e acesso ainda mais restrito.

7. Escolha bem os seus operadores

Ao terceirizar digitalização, guarda, assinatura ou BPO de documentos, o fornecedor passa a ser operador dos dados. Formalize em contrato as instruções de tratamento, os controles de segurança, a confidencialidade, a possibilidade de auditoria, a comunicação de incidentes e a devolução ou eliminação dos dados ao término da relação. Verifique também onde os dados ficam armazenados e se há transferência internacional.

E se algo der errado?

Tenha um plano de resposta a incidentes. A regulamentação da ANPD estabelece prazos e conteúdos mínimos para a comunicação de incidentes que possam acarretar risco ou dano relevante aos titulares. Saber de antemão quem decide, quem investiga e quem comunica faz toda a diferença nas primeiras horas.

Conformidade com a LGPD não é um projeto com data para acabar: é um conjunto de hábitos incorporados à rotina documental da empresa.

Por onde começar

Comece pelas áreas com maior volume de dados pessoais — normalmente RH, comercial e atendimento. Um diagnóstico rápido do fluxo documental dessas áreas costuma revelar ganhos imediatos de segurança e eficiência, como a eliminação de cópias desnecessárias e a centralização em um repositório com controle de acesso.

Este conteúdo é informativo e não substitui a orientação do seu encarregado de dados ou assessoria jurídica.