Documentos fiscais, folhas de pagamento, informações bancárias, cadastros de funcionários e declarações fazem parte da rotina de qualquer escritório contábil. Como esses arquivos reúnem uma grande quantidade de dados pessoais e empresariais, protegê-los é essencial para preservar a confiança dos clientes e manter a continuidade das operações.
A segurança da informação não deve ser tratada apenas como responsabilidade da equipe de tecnologia. Ela envolve a forma como os documentos são recebidos, armazenados, acessados, compartilhados e descartados por todos os profissionais do escritório.
Nesse contexto, a Lei Geral de Proteção de Dados Pessoais estabelece princípios e obrigações que precisam ser considerados em cada etapa do tratamento das informações.
O que a LGPD estabelece?
A Lei nº 13.709/2018, conhecida como LGPD, regulamenta o tratamento de dados pessoais no Brasil. Suas regras alcançam operações como coleta, consulta, armazenamento, compartilhamento, alteração e eliminação de informações relacionadas a pessoas naturais.
Para cumprir a legislação, a organização precisa, entre outras medidas:
- Definir uma finalidade para o uso dos dados;
- Utilizar somente as informações necessárias;
- Restringir o acesso a pessoas autorizadas;
- Manter os dados corretos e atualizados;
- Informar aos titulares como o tratamento acontece;
- Adotar medidas para prevenir acessos indevidos;
- Eliminar ou anonimizar informações quando não houver justificativa para sua conservação;
- Demonstrar que foram adotadas medidas de conformidade.
A adequação, portanto, não se resume à publicação de uma política de privacidade. Ela precisa estar presente nos processos internos, nos contratos, nos sistemas utilizados e na conduta da equipe.
Por que os escritórios contábeis precisam de atenção especial?
Um escritório contábil pode tratar dados de diferentes grupos: clientes, funcionários das empresas atendidas, fornecedores, sócios e profissionais da própria equipe.
Entre as informações que circulam nesse ambiente estão:
- Nome, CPF e endereço;
- Dados cadastrais e profissionais;
- Informações sobre salários e benefícios;
- Dados bancários e financeiros;
- Afastamentos e informações relacionadas à saúde;
- Documentos de dependentes;
- Dados biométricos, quando utilizados;
- Declarações fiscais e previdenciárias;
- Procurações e certificados digitais.
O risco não está apenas na quantidade de documentos. Um único arquivo, como uma folha de pagamento, pode reunir informações de dezenas ou centenas de pessoas.
Além disso, o escritório frequentemente recebe documentos por diferentes canais e os compartilha com clientes, instituições financeiras, fornecedores, órgãos públicos e plataformas governamentais. Quanto maior o número de acessos e transferências, maior a necessidade de controles bem definidos.
Dados pessoais e dados pessoais sensíveis são a mesma coisa?
A LGPD diferencia dados pessoais comuns de dados pessoais sensíveis.
Dados pessoais são informações relacionadas a uma pessoa natural identificada ou identificável. Nome, CPF, endereço, telefone e dados bancários podem se enquadrar nessa categoria.
Já os dados pessoais sensíveis formam uma categoria específica, que inclui informações sobre:
- Origem racial ou étnica;
- Convicção religiosa;
- Opinião política;
- Filiação sindical;
- Saúde;
- Vida sexual;
- Dados genéticos;
- Dados biométricos vinculados a uma pessoa.
Portanto, informações financeiras não são classificadas automaticamente como dados sensíveis pela LGPD. Mesmo assim, podem provocar prejuízos significativos em caso de acesso indevido e devem receber proteção compatível com o risco.
Na rotina contábil, dados sensíveis podem aparecer em documentos relacionados a afastamentos médicos, benefícios, biometria, descontos sindicais e outras informações trabalhistas.
Qual é o papel do encarregado de dados?
O encarregado pelo tratamento de dados pessoais, também conhecido pela sigla DPO, atua como canal de comunicação entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.
Entre suas atividades podem estar:
- Receber solicitações e reclamações dos titulares;
- Prestar esclarecimentos;
- Orientar funcionários e prestadores;
- Apoiar a aplicação de práticas de proteção de dados;
- Receber comunicações da ANPD;
- Auxiliar no acompanhamento das medidas de conformidade.
A função pode ser exercida por uma pessoa da equipe ou por um prestador externo, desde que existam conhecimento, autonomia e condições adequadas para o desempenho das atividades.
Entretanto, a indicação formal de um encarregado não é obrigatória para todos os negócios. A regulamentação da ANPD dispensa determinados agentes de tratamento de pequeno porte dessa obrigação.
Nesses casos, a organização ainda precisa disponibilizar um canal de comunicação para atender os titulares. A dispensa do encarregado também não elimina as demais responsabilidades previstas na LGPD.
Por isso, antes de decidir se o escritório precisa realizar a indicação formal, é recomendável avaliar seu porte, o volume de dados tratados, o nível de risco das operações e os critérios estabelecidos pela ANPD.
Quais são os riscos da falta de proteção?
A ausência de controles pode resultar em vazamentos, perda de documentos, alterações indevidas, indisponibilidade de sistemas e compartilhamentos realizados com destinatários errados.
Um incidente também pode gerar:
- Interrupção das atividades;
- Necessidade de recuperação de arquivos;
- Custos com investigação e correção;
- Reclamações de titulares;
- Responsabilização administrativa ou judicial;
- Perda de contratos;
- Danos à imagem do escritório;
- Redução da confiança dos clientes.
A LGPD prevê diferentes sanções administrativas, como advertência, publicização da infração, bloqueio ou eliminação dos dados relacionados à irregularidade e multa.
A multa simples pode alcançar até 2% do faturamento da pessoa jurídica de direito privado, do grupo ou do conglomerado no Brasil, excluídos os tributos e limitada a R$ 50 milhões por infração. Sua aplicação não é automática: depende de processo administrativo e dos critérios previstos na legislação e na regulamentação da ANPD.
Apesar da relevância das sanções, o dano à reputação pode ser ainda mais difícil de reverter. O cliente entrega ao escritório informações importantes sobre sua empresa e seus colaboradores. Quando esses dados são expostos ou utilizados indevidamente, a relação de confiança pode ser comprometida.
Onde estão os principais pontos de risco?
Os incidentes nem sempre são causados por ataques sofisticados. Muitas ocorrências começam em falhas simples da rotina.
Documentos enviados por e-mail
Anexos podem ser encaminhados ao destinatário errado, permanecer armazenados por tempo indeterminado ou ser acessados em contas sem proteção adequada.
Quando o uso do e-mail for necessário, o escritório deve verificar os destinatários, limitar permissões e adotar mecanismos adicionais de proteção para arquivos mais críticos.
Aplicativos pessoais de mensagens
O envio de documentos por aplicativos pessoais dificulta o controle sobre armazenamento, encaminhamento e exclusão. Também pode fazer com que informações profissionais permaneçam salvas em dispositivos particulares.
O ideal é estabelecer canais oficiais e orientar clientes e colaboradores sobre como utilizá-los.
Pastas compartilhadas sem restrições
Permitir que todos os funcionários acessem todos os documentos aumenta a exposição das informações. As permissões devem seguir a função de cada profissional e a necessidade real de acesso.
Senhas fracas ou compartilhadas
Contas coletivas dificultam a identificação de quem realizou determinada ação. Senhas repetidas, previsíveis ou compartilhadas em mensagens também ampliam o risco de acessos indevidos.
Sempre que possível, devem ser utilizados acessos individuais e autenticação em dois fatores.
Computadores e dispositivos desprotegidos
Notebooks, celulares, pendrives e equipamentos utilizados fora do escritório podem ser perdidos ou roubados. Bloqueio automático de tela, criptografia, antivírus atualizado e controle sobre mídias removíveis ajudam a reduzir os riscos.
Ausência de cópias de segurança
Falhas técnicas, ataques e exclusões acidentais podem tornar documentos indisponíveis. O escritório precisa manter cópias de segurança periódicas e testar se os arquivos podem ser restaurados.
Documentos físicos
A LGPD também se aplica a arquivos impressos. Contratos, cadastros e documentos trabalhistas não devem permanecer sobre mesas, em salas abertas ou em armários acessíveis a pessoas não autorizadas.
Guarda por tempo indeterminado
Manter todos os documentos para sempre aumenta o volume de informações expostas. O escritório deve definir prazos considerando a finalidade do tratamento, as obrigações legais, os prazos prescricionais e outras justificativas aplicáveis.
O descarte precisa ser seguro tanto no meio digital quanto no físico.
Como melhorar a gestão de documentos?
A adequação pode começar com medidas objetivas e aplicáveis à rotina do escritório.
1. Faça um inventário dos dados
O primeiro passo é identificar:
- Quais dados são tratados;
- A quem essas informações pertencem;
- Como são recebidas;
- Onde são armazenadas;
- Quem pode acessá-las;
- Com quem são compartilhadas;
- Por quanto tempo permanecem armazenadas;
- Como são eliminadas;
- Quais sistemas e fornecedores participam do processo.
Esse mapeamento ajuda a localizar documentos duplicados, canais inseguros e acessos que não são mais necessários.
2. Defina permissões por função
Cada profissional deve acessar somente as informações necessárias para suas atividades.
Também é importante criar um processo para conceder, revisar e remover permissões. Quando um funcionário muda de função ou deixa o escritório, seus acessos precisam ser atualizados imediatamente.
3. Padronize o recebimento e o envio de arquivos
O escritório deve indicar quais canais podem ser utilizados pelos clientes e pela equipe.
Sempre que possível, documentos devem ser disponibilizados em ambientes com autenticação, permissões individuais e mecanismos que permitam maior controle sobre o acesso.
4. Estabeleça uma política de retenção e descarte
A política deve informar quais documentos são mantidos, por quanto tempo e com qual fundamento.
Os prazos não devem ser definidos de maneira genérica, pois variam conforme o tipo de documento e a obrigação envolvida. A análise pode exigir apoio contábil e jurídico.
Após o encerramento do prazo, os arquivos devem ser eliminados de forma segura ou anonimizados, quando aplicável.
5. Adote uma política de segurança da informação
A política deve estabelecer regras para temas como:
- Criação e uso de senhas;
- Compartilhamento de documentos;
- Utilização de equipamentos pessoais;
- Trabalho remoto;
- Instalação de programas;
- Cópias de segurança;
- Controle de acesso;
- Uso de e-mail e aplicativos de mensagens;
- Descarte de documentos;
- Comunicação de incidentes.
O documento precisa ser conhecido pela equipe e revisado periodicamente.
6. Treine os colaboradores
A tecnologia não consegue evitar todos os erros. Um funcionário pode enviar um arquivo ao destinatário errado, clicar em uma mensagem fraudulenta ou compartilhar uma senha sem perceber o risco.
Os treinamentos devem utilizar exemplos próximos da rotina contábil e orientar a equipe sobre como identificar e comunicar situações suspeitas.
7. Avalie fornecedores e contratos
Softwares, serviços em nuvem, empresas de suporte e outros parceiros podem ter acesso aos dados tratados pelo escritório.
Antes da contratação, é importante avaliar as medidas de segurança oferecidas, as responsabilidades de cada parte, as regras de confidencialidade e o procedimento adotado em caso de incidente.
8. Prepare um plano de resposta a incidentes
O escritório deve saber como agir diante da perda, exposição, alteração ou acesso indevido a dados.
O plano pode definir:
- Quem deve ser avisado;
- Como o incidente será contido;
- Quais informações precisam ser preservadas;
- Como os impactos serão avaliados;
- Quem será responsável pela investigação;
- Como as medidas corretivas serão registradas;
- Quando será necessário comunicar a ANPD e os titulares.
De acordo com a regulamentação, o controlador deve comunicar os incidentes que possam acarretar risco ou dano relevante aos titulares. Por isso, cada ocorrência precisa ser analisada com rapidez e registrada adequadamente.
Como a tecnologia contribui para a conformidade?
Manter documentos espalhados entre e-mails, planilhas, computadores pessoais e pastas sem padronização dificulta o controle das informações.
A adoção de sistemas de gestão ajuda a centralizar dados, organizar processos e reduzir a dependência de controles manuais. Dependendo dos recursos disponíveis, a tecnologia também pode contribuir com acessos individualizados, permissões por usuário, histórico de operações, cópias de segurança e atualização das informações.
As soluções da e-Contab auxiliam na organização das rotinas e na centralização das informações do escritório contábil, reduzindo a dispersão de dados entre diferentes controles.
Entretanto, nenhum sistema garante sozinho a conformidade com a LGPD. A tecnologia precisa estar acompanhada de políticas internas, treinamento, revisão de acessos, contratos adequados e acompanhamento contínuo.
Segurança da informação precisa fazer parte da rotina
A proteção de dados não é uma atividade realizada uma única vez. Novos clientes, funcionários, sistemas e processos podem criar riscos que não existiam anteriormente.
Por isso, o escritório deve revisar periodicamente:
- Os dados que mantém armazenados;
- As permissões concedidas;
- Os usuários ativos;
- Os sistemas utilizados;
- Os contratos com fornecedores;
- As cópias de segurança;
- Os prazos de retenção;
- Os registros de incidentes;
- Os treinamentos da equipe.
A adequação à LGPD acontece de forma contínua. Medidas como mapear informações, limitar acessos, padronizar canais e preparar a equipe já contribuem para reduzir riscos e fortalecer a confiança dos clientes.
Conheça as soluções da e-Contab e tenha mais organização e segurança na gestão das informações do seu escritório.
