Digitalização e LGPD

O que muda no arquivo digital quando há dados pessoais nos documentos

Digitalizar um documento que contém dados pessoais não transfere as obrigações de proteção para a cópia digital — mantém as mesmas obrigações do original físico, com riscos adicionais específicos do formato digital.

No arquivo físico, quem quer acessar um documento precisa estar fisicamente no local, abrir a pasta, retirar o documento — ações visíveis e rastreáveis por observação direta. No arquivo digital, o acesso pode ocorrer remotamente, sem presença física, e sem deixar rastro se não houver trilha de auditoria ativa. Um único download pode copiar centenas de fichas de funcionários com CPF, endereço e dados de saúde sem nenhum sinal visível.

Isso não significa que o arquivo digital é necessariamente mais arriscado — significa que os controles precisam ser adaptados ao ambiente digital. O mesmo documento que no arquivo físico era acessado por uma pessoa de vez, no digital pode ser acessado por cem pessoas simultaneamente se as permissões não forem configuradas.

Quais documentos digitalizados contêm dados pessoais

A identificação dos documentos com dados pessoais no acervo é o ponto de partida para definir quais pastas do arquivo digital precisam de controle de acesso mais restritivo.

Documentos que não contêm dados pessoais — manuais, plantas, catálogos, certidões de pessoa jurídica — não estão sujeitos às mesmas obrigações e podem ter acesso mais amplo no arquivo digital.

Os quatro controles operacionais que o gestor precisa garantir

As obrigações de proteção de dados se traduzem em quatro controles operacionais concretos para o arquivo digital.

1. Acesso restrito por finalidade e perfil: cada documento com dados pessoais deve ser acessível apenas por quem tem necessidade funcional para isso. O arquivo de exames médicos de funcionários, por exemplo, é acessado pelo RH para controle de validade do ASO — não pelo gestor financeiro, não pelo marketing, não pelo comercial. Configurar as permissões do arquivo digital por tipo de documento e por cargo é a implementação prática desse controle.
2. Prazo de guarda respeitado com exclusão definitiva: dados pessoais devem ser descartados após o prazo de guarda — não quando "sobrar tempo" ou "alguém se lembrar". No arquivo digital, isso significa exclusão definitiva do arquivo (não apenas mover para lixeira ou remover da indexação), sem possibilidade de recuperação. Quando a guarda do documento ainda é necessária mas o dado pessoal específico não é, a alternativa é a anonimização — substituir o CPF ou o nome por identificador não vinculável à pessoa real.
3. Finalidade definida para o acesso: o documento digitalizado deve ser acessado apenas para a finalidade que justificou sua guarda. O contrato de trabalho é guardado para fins trabalhistas — não para consulta livre de qualquer gestor que queira verificar os termos acordados. Definir explicitamente a finalidade de cada tipo de documento no arquivo digital é o que fundamenta a restrição de acesso.
4. Contrato com cláusulas de proteção de dados com o fornecedor: o fornecedor de digitalização que processa documentos com dados pessoais está tratando esses dados em nome da empresa — é um operador de dados. A empresa é a responsável pelo tratamento e precisa garantir, por contrato, que o fornecedor mantém confidencialidade, não usa os dados para finalidade própria e adota medidas de segurança adequadas. Para detalhes sobre a formalização desse instrumento, ver o artigo "Segurança e sigilo na digitalização".

Descarte de dados pessoais no arquivo digital: como fazer corretamente

Mover um arquivo para a lixeira e esvaziar a lixeira não é exclusão definitiva — dependendo do sistema, o arquivo permanece recuperável por outros meios. Para garantir que dados pessoais foram de fato descartados após o prazo de guarda, o processo de exclusão precisa ser definitivo e verificável.

As abordagens práticas variam por tipo de sistema. Em serviços de nuvem corporativos, a exclusão definitiva exige confirmação em dois passos (excluir da pasta e excluir da lixeira permanente) e, em alguns sistemas, período de retenção configurável pelo administrador. Em sistemas de GED, a função de descarte automático ao término do prazo de guarda pode ser configurada como regra. Em armazenamento local (NAS, servidor), a exclusão definitiva pode requerer ferramenta de sobrescrita de dados para garantir que o arquivo não seja recuperável por software de recuperação de dados.

Quando a empresa precisa manter o documento por obrigação legal mas não precisa mais do dado pessoal nele contido, a anonimização é a alternativa: retirar ou substituir os campos identificadores (CPF, nome, endereço) por identificadores não vinculáveis à pessoa, mantendo os demais dados do documento para os fins que justificam a guarda.

Formalização com o fornecedor de digitalização

O fornecedor de digitalização que processa documentos com dados pessoais precisa de instrumento contratual que formalize as obrigações de proteção de dados — independentemente do porte da empresa contratante.