Meta descrição: Ter uma política de privacidade no site não basta. Entenda como sua empresa pode reduzir riscos com dados de clientes, acessos internos, WhatsApp, planilhas e sistemas.
Slug sugerido: lgpd-protecao-dados-empresa-politica-privacidade
A maioria das empresas já tem uma política de privacidade no site. Isso é importante. Mas é só o começo.
O verdadeiro problema costuma aparecer depois que o cliente preenche um formulário, faz uma compra, envia documentos ou entra em contato com a empresa.
A partir daí, uma pergunta precisa ser feita:
Para onde os dados desse cliente estão indo?
ERP, planilhas, WhatsApp, transportadora, agência, e-mail, computador de funcionário, CRM, plataforma de pagamento…
É muita coisa para acompanhar.
E é justamente nesse caminho que muitos riscos envolvendo a LGPD e a segurança dos dados começam a aparecer.
Ter uma política de privacidade bonita não significa estar protegido
Uma empresa pode ter uma página de privacidade completa, bem escrita e aparentemente profissional.
Mas isso não resolve o problema se, na rotina, os dados dos clientes circulam sem controle.
Imagine algumas situações simples:
- o documento de um cliente fica perdido em um grupo de WhatsApp;
- uma planilha com informações pessoais é enviada para um e-mail particular;
- um antigo funcionário continua com acesso ao sistema da empresa;
- senhas são compartilhadas entre vários colaboradores;
- dados de clientes ficam salvos em computadores pessoais;
- arquivos são enviados para fornecedores sem controle sobre quem terá acesso.
É aí que mora o risco.
A proteção de dados não depende apenas do que está escrito no site. Ela depende principalmente do que acontece dentro da empresa todos os dias.
Empresas que vendem pela internet ainda precisam lidar com informações passando por diferentes plataformas, meios de pagamento, transportadoras, sistemas e equipes. Por isso, a organização jurídica e operacional precisa caminhar junto. No Advogado Ecommerce, você encontra outros conteúdos sobre segurança jurídica para negócios digitais.
A pergunta principal não é “temos uma política de privacidade?”
A pergunta mais importante é:
Onde estão os dados, quem pode acessá-los e como eles estão sendo utilizados?
Essas três perguntas revelam muito mais sobre a situação real de uma empresa do que simplesmente verificar se existe um texto sobre LGPD publicado no rodapé do site.
Pense no caminho percorrido pelos dados de um consumidor.
- O cliente preenche um formulário.
- As informações entram no CRM.
- Um funcionário recebe os dados.
- Um documento é enviado pelo WhatsApp.
- Os dados seguem para outro departamento.
- Alguma informação pode ser encaminhada a um fornecedor.
- Parte dela fica armazenada em determinado sistema.
Quanto mais pessoas, plataformas e empresas participam desse processo, maior precisa ser o controle.
Nem todo vazamento de dados gera indenização automática
Esse é um ponto importante porque existe muita informação exagerada sobre LGPD circulando na internet.
Nem todo incidente envolvendo dados significa automaticamente que haverá uma indenização.
O Superior Tribunal de Justiça já analisou situações diferentes envolvendo o vazamento e o uso indevido de informações pessoais.
Em um dos casos citados no material, relacionado ao AREsp 2.130.619, foi discutida a situação de dados pessoais comuns, como nome, endereço e número de documento.
A conclusão destacada foi a de que a simples exposição de determinados dados não gera, necessariamente, indenização automática. Dependendo do caso, é necessário demonstrar o prejuízo sofrido.
Mas isso não significa que as empresas possam tratar dados pessoais sem cuidado.
Muito pelo contrário.
Uma informação aparentemente simples pode ajudar um golpista
Em outro julgamento citado no material, o REsp 2.077.278, um banco foi responsabilizado em uma situação na qual informações internas relacionadas ao cliente chegaram aos criminosos e ajudaram a tornar o golpe mais convincente.
Esse ponto merece muita atenção.
Nem todo vazamento gera indenização. Mas uma informação aparentemente simples pode ser exatamente o que um criminoso precisa para conquistar a confiança da vítima.
Imagine um golpista que já sabe:
- o nome completo do cliente;
- o produto que ele comprou;
- o valor da compra;
- o número do pedido;
- o nome de quem realizou o atendimento;
- uma informação sobre pagamento ou entrega.
Separadamente, esses dados podem parecer simples.
Juntos, podem ser suficientes para tornar uma abordagem falsa muito mais convincente.
É por isso que segurança da informação e proteção de dados precisam fazer parte da rotina empresarial, especialmente em negócios digitais que lidam diariamente com grande volume de informações de consumidores.
LGPD não deve ser tratada com terrorismo
A LGPD é importante.
Mas o objetivo não deveria ser assustar empresários dizendo que qualquer erro resultará automaticamente em multas gigantescas ou indenizações milionárias.
O caminho mais útil é entender os riscos reais do negócio e começar a organizar os processos.
Uma pequena empresa talvez não tenha a mesma estrutura de uma multinacional.
Mesmo assim, pode adotar medidas básicas que diminuem bastante a exposição a problemas.
Como reduzir os riscos envolvendo dados de clientes?
No dia a dia, a proteção dos dados pode começar com três perguntas simples.
1. Quem pode ver os dados do cliente?
Todo funcionário realmente precisa ter acesso a todas as informações?
Em muitos casos, não.
Uma pessoa responsável pelo atendimento pode precisar de determinados dados, enquanto outra área pode precisar apenas de informações específicas.
Quanto mais amplo for o acesso, maior tende a ser o risco.
Por isso, é importante revisar usuários, senhas e permissões periodicamente.
2. Para onde essas informações estão sendo enviadas?
Esse ponto costuma revelar muitos problemas.
Os dados ficam apenas no sistema da empresa?
São enviados pelo WhatsApp?
Vão para planilhas?
Chegam a uma transportadora, contador, agência ou outro fornecedor?
A empresa precisa conhecer minimamente esse fluxo.
Se ninguém sabe para onde as informações estão indo, dificilmente será possível controlar adequadamente quem possui acesso a elas.
3. Quem precisa agir quando surge um problema?
Imagine que um funcionário percebeu que uma planilha com dados de clientes foi enviada para a pessoa errada.
O que ele deve fazer?
Quem precisa ser avisado?
Quem decide quais medidas serão adotadas?
Se ninguém souber responder, o problema pode ficar maior simplesmente porque a empresa demorou para agir.
Se sua empresa não sabe quem pode acessar os dados, para onde eles estão indo e quem deve agir diante de um problema, a política de privacidade corre o risco de ser apenas um enfeite no site.
Funcionário desligado ainda possui acesso ao sistema? Cuidado.
Esse é um exemplo simples de uma falha que pode ser evitada com organização.
Quando alguém deixa a empresa, os acessos relacionados ao trabalho precisam ser revisados.
- CRM;
- e-mail corporativo;
- WhatsApp;
- Drive;
- sistema interno;
- plataformas de vendas;
- painéis administrativos;
- planilhas compartilhadas;
- contas utilizadas em ferramentas externas.
Uma conta esquecida pode continuar permitindo acesso a informações importantes por meses.
E esse é exatamente o tipo de situação que uma boa rotina administrativa pode evitar.
WhatsApp também merece atenção
Para muitas empresas brasileiras, o WhatsApp virou praticamente uma extensão do escritório.
Clientes enviam CPF, RG, contratos, comprovantes, endereços, documentos, dados bancários e outras informações por ali.
O problema começa quando esses arquivos ficam espalhados em:
- grupos;
- celulares pessoais;
- conversas antigas;
- downloads automáticos;
- computadores sem controle de acesso.
Por isso, a empresa precisa estabelecer regras internas claras sobre como determinadas informações devem ser recebidas, armazenadas e compartilhadas.
Planilhas também podem ser um risco
Planilhas são úteis e fazem parte da rotina de milhares de empresas.
Mas uma planilha com centenas de nomes, telefones, e-mails e dados de pedidos também pode representar um grande volume de informações pessoais concentrado em um único arquivo.
Se esse documento for encaminhado para a pessoa errada ou permanecer disponível para usuários que não precisam mais dele, o problema pode surgir rapidamente.
Por isso, vale revisar periodicamente:
- quem possui acesso;
- onde o arquivo está armazenado;
- quem pode compartilhar;
- se a planilha ainda é necessária;
- se existem cópias desnecessárias.
O cuidado precisa acompanhar todo o caminho do dado
A proteção não termina quando o cliente clica em “aceito” na política de privacidade.
Ela continua enquanto aquela informação estiver sendo utilizada pela empresa.
Isso significa pensar no dado desde a coleta até o armazenamento, compartilhamento, utilização e eventual eliminação.
Para empresas que operam pela internet, esse cuidado é ainda mais relevante porque vários fornecedores e sistemas podem participar de uma única venda.
Se você administra uma loja virtual ou empresa digital, vale conferir outros conteúdos sobre prevenção de riscos, contratos e proteção jurídica no Advogado Ecommerce.
Sua empresa sabe onde estão os dados dos clientes?
Essa é uma pergunta simples, mas a resposta pode dizer muito sobre o nível de organização do negócio.
Não basta publicar uma política de privacidade e imaginar que o trabalho terminou.
É preciso olhar para a rotina.
Quem acessa?
Onde fica armazenado?
Para quem é enviado?
Quem continua tendo acesso depois de sair da empresa?
O que acontece quando surge um incidente?
Responder essas perguntas pode ser muito mais importante do que simplesmente ter um documento bonito no site.
LGPD não precisa ser tratada com terrorismo. Precisa ser tratada com organização, prevenção e responsabilidade.
Se sua empresa deseja entender melhor os riscos jurídicos relacionados ao comércio eletrônico, tratamento de dados, contratos e operação digital, acesse o Advogado Ecommerce e confira nossos conteúdos.
Uma política de privacidade pode ser o começo. Mas a verdadeira proteção acontece quando a empresa sabe onde estão os dados, quem pode acessá-los e o que fazer quando alguma coisa dá errado.
