Prevenção de vazamento de dados de RH

Por que a prevenção começa no RH

Dados de funcionários — CPF, dados de saúde, histórico salarial, laudos médicos, informações de desempenho — estão entre os dados pessoais mais sensíveis que uma empresa processa. O RH é o principal custodiante desses dados e, por isso, é também o ponto de maior exposição.

O risco não é apenas externo. A maior parte dos vazamentos de dados corporativos tem origem interna — comportamentos inadequados dos próprios usuários que têm acesso legítimo aos sistemas, como compartilhar arquivos por canais não seguros, exportar bases para planilhas pessoais ou manter acessos ativos após desligamentos. Isso não é descuido excepcional: é o resultado de processos sem controle definido.

Os quatro pilares a seguir organizam os controles preventivos que o RH pode implementar — e que não exigem dependência exclusiva de TI para funcionar.

Pilar 1 — Gestão de acessos

O princípio fundamental da gestão de acessos é o mínimo acesso — em inglês, need to know: cada pessoa deve ter acesso apenas aos dados necessários para exercer sua função, e nada além disso. Na prática, isso significa:

• Segregação de perfis: o analista de folha não precisa ver laudos médicos; o analista de seleção não precisa ver dados salariais de funcionários ativos. Os sistemas de RH devem ter perfis de acesso diferenciados por função — não um único acesso "RH" para toda a equipe.
• Revisão periódica de permissões: perfis de acesso tendem a acumular mais permissões do que o necessário ao longo do tempo. Uma revisão semestral ou anual — confrontando quem tem acesso com o que a função exige — corrige esse desvio antes que ele se torne um risco.
• Revogação imediata no desligamento: o acesso de um funcionário desligado deve ser revogado no momento do desligamento, não dias depois. Isso inclui sistemas de RH, e-mail corporativo, drives compartilhados e qualquer repositório com dados pessoais.
• Proibição de credenciais compartilhadas: usuários e senhas compartilhados entre membros da equipe impossibilitam a auditoria — não é possível saber quem acessou o quê. Cada usuário deve ter credencial individual.

Pilar 2 — Política de retenção e descarte

Dados que não precisam mais ser guardados se tornam um risco sem valor correspondente. A política de retenção define por quanto tempo cada tipo de documento deve ser mantido — e o que acontece quando esse prazo termina.

Prazos de retenção por tipo de documento

A LGPD não estabelece prazos únicos — eles variam conforme a legislação trabalhista e previdenciária aplicável a cada tipo de dado. Alguns parâmetros consolidados de mercado:

• Folha de pagamento e holerites: mínimo de 5 anos (prazo prescricional trabalhista), podendo chegar a 30 anos para fins previdenciários;
• Prontuários médicos e laudos ocupacionais: mínimo de 20 anos após o desligamento, conforme normas do Ministério do Trabalho;
• Dados de candidatos não aprovados: não há prazo legalmente obrigatório — a prática segura é de 6 a 12 meses ou descarte imediato com consentimento explícito na candidatura;
• Registros de ponto e controle de jornada: mínimo de 5 anos;
• Contratos de trabalho: por toda a vigência e mínimo de 2 anos após o término, com recomendação de até 5 anos para fins de prova.

Descarte seguro

O descarte precisa ser efetivo, não apenas formal:

• Documentos físicos: trituração ou incineração — não basta colocar na lixeira;
• Arquivos digitais: exclusão permanente com sobrescrição dos dados, não apenas mover para a lixeira do sistema;
• Backups: o descarte deve incluir a eliminação das cópias de segurança que contenham os dados, não apenas o arquivo principal.

Pilar 3 — Criptografia e proteção de arquivos

Criptografia não é exclusividade de grandes empresas. A proteção de arquivos com dados sensíveis pode ser implementada em qualquer porte, com ferramentas acessíveis.

E-mails com dados de funcionários

O e-mail é um dos principais vetores de vazamento inadvertido. Boas práticas para o RH:

• Nunca incluir dados sensíveis no corpo do e-mail — apenas em anexos protegidos por senha;
• Verificar o destinatário antes de enviar — erros de digitação em endereços de e-mail são causa frequente de vazamentos;
• Preferir sistemas internos de compartilhamento de documentos a e-mails para circulação de bases de dados.

Pilar 4 — Treinamento e conscientização

Controles técnicos são necessários, mas insuficientes se os membros do time de RH não souberem como usar os sistemas com segurança ou não reconhecerem comportamentos de risco. O treinamento não é um evento único — é um processo contínuo.

O que o time de RH precisa saber

• O que é dado sensível: dados de saúde, origem racial ou étnica, convicções religiosas, dados biométricos e dados de menores são categorias que exigem proteção reforçada — e o RH processa a maioria delas;
• Como circular dados com segurança: por quais canais é permitido compartilhar dados de funcionários, quais são proibidos, e o que fazer quando um canal não seguro for a única opção;
• O que fazer se suspeitar de incidente: a quem comunicar, em quanto tempo e o que não fazer (como tentar resolver sozinho ou apagar evidências).

Auditoria periódica: verificar para manter

Controles preventivos precisam de verificação regular para não se tornarem obsoletos. Uma auditoria periódica de segurança de dados de RH inclui:

1. Revisão de logs de acesso: quem acessou quais dados, quando e por quê — sistemas de RH robustos mantêm esse histórico; sistemas simples podem exigir controle manual;
2. Validação de quem tem acesso ao quê: confrontar a lista de usuários ativos no sistema com o quadro atual de funcionários — identificar acessos de ex-funcionários ou permissões inadequadas;
3. Revisão da política de senhas: verificar se as senhas dos sistemas de RH atendem a critérios mínimos de segurança (comprimento, complexidade, prazo de troca) e se não estão sendo compartilhadas;
4. Teste da política de retenção: verificar se documentos com prazo expirado foram de fato descartados — ou se continuam acumulando em pastas "por precaução".

Se os controles preventivos deste artigo falharem e um incidente ocorrer, os próximos passos estão nos artigos anteriores desta série: Como reconhecer um incidente de dados de RH e Plano de resposta a incidente LGPD.