LGPD e gestão de notebooks e smartphones corporativos: por que isso é obrigação legal, não só um tema de TI
A gestão de notebooks, smartphones e outros dispositivos corporativos é uma obrigação decorrente da LGPD. Os artigos 46 a 49 da Lei Geral de Proteção de Dados exigem que empresas adotem medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações de perda, furto ou vazamento, e um notebook ou celular corporativo extraviado, sem controle adequado, é uma das formas mais comuns de violação de dados nas empresas.
Por que dispositivos corporativos são um risco de LGPD
Notebooks e smartphones usados no dia a dia da empresa costumam concentrar e-mails, contratos, planilhas de clientes, sistemas financeiros, aplicativos de CRM e, muitas vezes, dados sensíveis, de clientes, fornecedores e colaboradores. Quando esse equipamento é perdido, furtado ou descartado sem os devidos cuidados, a empresa deixa de controlar quem tem acesso a essas informações, o que caracteriza, tecnicamente, um incidente de segurança com dados pessoais.
Os principais pontos de exposição são:
Dispositivos sem senha, biometria ou criptografia de disco, que permitem acesso imediato a quem os encontra.
Ausência de bloqueio e apagamento remoto em caso de perda ou furto.
Uso de dispositivos pessoais para trabalho (BYOD) sem política clara, misturando dados da empresa com uso pessoal, aplicativos não homologados e backups em nuvens pessoais.
Falta de controle sobre o que acontece com o equipamento quando um colaborador é desligado — dispositivos não recolhidos, acessos não revogados, dados não apagados.
Descarte inadequado de equipamentos antigos, sem apagamento seguro dos dados armazenados.
O que a LGPD exige das empresas
Os artigos 46 a 49 da LGPD estabelecem, em resumo, que agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Isso inclui, na prática, a forma como a empresa controla os equipamentos que armazenam ou acessam esses dados.
Se um notebook ou celular corporativo com dados pessoais for perdido ou furtado, isso pode configurar um incidente de segurança que a empresa é obrigada a avaliar e, dependendo do risco, comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados.
Prazos e critérios de comunicação à ANPD
A comunicação à ANPD deve ocorrer em até 3 dias úteis após a confirmação do incidente (não da data em que ele ocorreu). Caso as informações ainda estejam incompletas, é possível enviar uma comunicação preliminar e complementá-la em até 20 dias úteis.
A comunicação é obrigatória quando o incidente representar risco ou dano relevante aos titulares, o que inclui, entre outros critérios: envolvimento de dados sensíveis (saúde, biometria, origem racial, dados genéticos), dados de crianças, adolescentes ou idosos, dados financeiros ou credenciais de acesso, tratamento em larga escala, ou informações protegidas por sigilo legal ou profissional.
Nos primeiros momentos após o incidente, a empresa deve conter o problema (isolar o acesso, tentar o bloqueio/apagamento remoto do dispositivo), notificar internamente o encarregado de dados (DPO), mapear quais dados e quantas pessoas foram potencialmente afetadas, e documentar cada etapa da resposta.
Empresas sem controle sobre seus próprios equipamentos corporativos frequentemente descobrem um incidente tarde demais, ou nem descobrem, o que agrava a responsabilidade em caso de fiscalização.
Boas práticas de gestão de dispositivos corporativos
Política formal de uso de dispositivos, aplicável a notebooks, smartphones e tablets, definindo o que pode e o que não pode ser feito com o equipamento, inclusive em regime de trabalho remoto ou híbrido.
Criptografia de disco e bloqueio por senha ou biometria como configuração padrão obrigatória em todo equipamento que acesse dados da empresa.
Ferramentas de gestão de dispositivos móveis (MDM), que permitem localizar, bloquear e apagar remotamente o conteúdo de um aparelho perdido ou furtado, além de aplicar políticas de segurança de forma centralizada.
Inventário atualizado de equipamentos, com identificação de quem usa cada dispositivo e quais sistemas/dados ele acessa.
Procedimento formal de desligamento, com recolhimento do equipamento, revogação de acessos e apagamento seguro de dados em até um prazo curto após o desligamento do colaborador.
Regras específicas para uso de dispositivo pessoal (BYOD), se a empresa permitir essa prática, com segregação entre dados corporativos e pessoais e possibilidade de apagamento remoto apenas da área corporativa.
Descarte seguro de equipamentos, com apagamento certificado de dados antes de doação, revenda ou descarte.
Treinamento periódico das equipes, para que cada colaborador entenda seu papel na proteção dos dados que circulam pelo dispositivo que utiliza.
O que fazer se um dispositivo corporativo for perdido ou furtado
Acionar imediatamente o bloqueio e, se disponível, o apagamento remoto do aparelho.
Comunicar o encarregado de dados (DPO) ou o responsável pela área jurídica/compliance da empresa.
Levantar quais dados pessoais o dispositivo continha e a quantas pessoas eles se referem.
Avaliar, com apoio jurídico, se o caso se enquadra nos critérios que tornam obrigatória a comunicação à ANPD e aos titulares, e cumprir o prazo de 3 dias úteis a partir da confirmação do incidente.
Registrar todo o processo, já que a documentação da resposta ao incidente é, ela própria, uma evidência de conformidade da empresa com a LGPD.
Perguntas frequentes
A LGPD exige que a empresa tenha uma política específica para notebooks e celulares corporativos? A lei não determina um modelo único, mas exige que a empresa adote medidas técnicas e administrativas de segurança adequadas ao risco (arts. 46 a 49 da LGPD). Na prática, isso torna necessária uma política formal de uso e controle de dispositivos que acessam dados pessoais.
Perder um notebook ou celular da empresa já é considerado um incidente de LGPD? Sim, tecnicamente qualquer perda de controle sobre um dispositivo que armazene ou acesse dados pessoais é um evento de segurança que precisa ser avaliado. Se houver risco relevante aos titulares dos dados, a comunicação à ANPD passa a ser obrigatória.
Quanto tempo a empresa tem para comunicar a ANPD sobre um incidente? Até 3 dias úteis contados da confirmação do incidente (não da data em que ele ocorreu), podendo enviar uma comunicação preliminar complementada em até 20 dias úteis caso ainda faltem informações, sempre observados os critérios que determinam tal comunicação.
Permitir que colaboradores usem o celular pessoal para trabalho (BYOD) é proibido pela LGPD? Não é proibido, mas aumenta o risco se não houver política clara de segregação entre dados pessoais do colaborador e dados corporativos, com possibilidade de apagamento remoto apenas da parte relacionada ao trabalho.
Quem responde por um vazamento causado por um dispositivo corporativo mal gerido? A empresa, na qualidade de controladora ou operadora dos dados, responde perante a ANPD e os titulares afetados, independentemente de o dispositivo ter sido usado por um colaborador específico, cabendo depois avaliação interna sobre eventual responsabilidade individual.
© 2025 - Todos os direitos reservados | FD.law - Gustavo Tonet Fagundes Sociedade Individual de Advocacia
Itajaí - SC
Rua Samuel Heusi
nº 190, sala 701, Centro
CEP 88301-320
(47) 98806-7489