LGPD e segurança de dados no ERP: perfis de acesso, backup e incidentes

O ERP concentra dados pessoais de clientes, fornecedores e funcionários, além de informações financeiras e fiscais. Por isso, ele está no centro da conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD). Na prática, a empresa precisa saber quais dados trata, limitar quem acessa, proteger as informações com backup e controle técnico, formalizar a relação com o fornecedor do sistema e ter um plano para incidentes. Este guia apresenta os cuidados essenciais, em linguagem de gestão, sem substituir a orientação de um advogado ou especialista em proteção de dados.

Quais dados pessoais o ERP costuma guardar

Dados de pessoas jurídicas, em si, não são dados pessoais, mas contatos e sócios identificáveis dentro delas são. Alguns dados, como saúde, são considerados sensíveis pela LGPD e exigem cuidado redobrado.

Papéis: controlador e operador

Na LGPD, o controlador decide sobre o tratamento dos dados (a sua empresa) e o operador trata dados em nome do controlador (muitas vezes o fornecedor do ERP em nuvem). O contrato deve deixar claro esse papel, o que o fornecedor pode fazer com os dados, medidas de segurança, subcontratados, localização do armazenamento, retorno e eliminação dos dados ao término do contrato e comunicação de incidentes. Peça a minuta antes de assinar e peça a um advogado que a revise quando o volume de dados for relevante.

Princípios práticos para aplicar no ERP

1. Finalidade e necessidade. Colete e guarde apenas o dado necessário para a finalidade. Se não precisa da data de nascimento do cliente, não crie campo obrigatório para isso.
2. Base legal. Cada tratamento precisa de fundamento previsto na lei, como execução de contrato, cumprimento de obrigação legal ou legítimo interesse, entre outros. O consentimento é uma das bases, e não a única. Defina com o apoio jurídico.
3. Transparência. Informe os titulares sobre o tratamento em política de privacidade acessível.
4. Segurança. Adote medidas técnicas e administrativas proporcionais ao risco.
5. Retenção. Defina por quanto tempo cada dado será guardado e elimine quando não houver mais necessidade ou obrigação legal. Documentos fiscais, por exemplo, têm prazos de guarda legais.
6. Direitos dos titulares. Tenha um processo para atender pedidos de acesso, correção e outros direitos previstos na lei, em prazos adequados.

Controle de acesso e perfis de usuário

Falhas internas são tão comuns quanto ataques externos. Boas práticas:

• Perfis por função: cada pessoa acessa só o que precisa. O estoquista não precisa ver folha de pagamento.
• Princípio do menor privilégio: conceda o mínimo e amplie sob solicitação.
• Login individual: nada de usuário e senha compartilhados.
• Autenticação em dois fatores para administradores e acessos remotos, quando disponível.
• Revisão periódica de acessos: remova imediatamente o acesso de quem saiu da empresa ou mudou de função.
• Registro de auditoria (log): o sistema deve registrar quem alterou preços, cancelou notas, excluiu lançamentos ou exportou dados.
• Restrição de exportação: limite quem pode baixar bases completas de clientes.

Backup e continuidade

Dados que não podem ser recuperados têm risco operacional e fiscal. Verifique:

• Frequência do backup (diária, no mínimo, para operações ativas) e retenção das cópias.
• Teste de restauração: um backup que nunca foi testado pode não funcionar. Peça evidência do teste ou faça simulação.
• Cópia fora do ambiente principal, para proteção contra falha física ou ransomware.
• Plano de continuidade: como a empresa opera se o sistema ficar indisponível por horas (contingência de notas, lista de contatos, procedimentos manuais).
• Tempo de recuperação prometido pelo fornecedor em contrato.

Em ERP em nuvem, esses itens são responsabilidade do fornecedor, mas você precisa confirmar por escrito. Em servidor próprio, são responsabilidade sua. Veja o comparativo em ERP na nuvem ou no servidor próprio.

Segurança básica no ambiente da empresa

• Mantenha computadores e navegadores atualizados e com antivírus.
• Treine a equipe para reconhecer e-mails de phishing e golpes de alteração de conta bancária.
• Use senhas longas e únicas, com gerenciador de senhas.
• Proteja o certificado digital: guarde o arquivo A1 com restrição de acesso e use o A3 em dispositivo próprio.
• Evite enviar planilhas com dados pessoais por aplicativos de mensagem.
• Descarte equipamentos com apagamento seguro dos dados.

O que fazer em caso de incidente

Se houver vazamento, acesso indevido, perda ou criptografia criminosa de dados:

1. Contenha o incidente: desconecte sistemas afetados, troque senhas, revogue acessos.
2. Registre o que aconteceu, quando foi descoberto, quais dados e quantas pessoas foram afetadas.
3. Avalie o risco aos titulares com apoio jurídico e técnico.
4. Comunique quando necessário: a LGPD prevê a comunicação à ANPD e aos titulares em caso de incidente que possa acarretar risco ou dano relevante, em prazo razoável conforme regulamentação da autoridade. Verifique a regulamentação vigente no site da ANPD.
5. Corrija a causa e documente as lições aprendidas.

Perguntas ao fornecedor de ERP

• Onde os dados ficam armazenados e quem são os subcontratados?
• Como é feito o backup e com que frequência? Já foi testada a restauração?
• Há registro de acessos e ações dos usuários?
• Como são tratados os dados ao término do contrato?
• O fornecedor comunica incidentes e em que prazo?
• Há certificações ou auditorias de segurança que possam ser compartilhadas?

Quando consultar um profissional

Procure advogado especialista em proteção de dados para elaborar política de privacidade, revisar contratos e definir bases legais. Um profissional de segurança da informação pode avaliar riscos técnicos. Para empresas pequenas, a ANPD e o Sebrae oferecem materiais de apoio.

Perguntas frequentes

Toda empresa precisa de um encarregado (DPO)?

A LGPD prevê a indicação de encarregado pelo tratamento de dados pessoais, com regras de dispensa para agentes de tratamento de pequeno porte, conforme regulamentação da ANPD. Confirme a norma vigente e o que se aplica à sua empresa.

O fornecedor do ERP é responsável por um vazamento?

Depende do contrato e das circunstâncias. A LGPD prevê responsabilidade de controlador e operador. Por isso o contrato precisa tratar de segurança, comunicação e responsabilidades.

Posso guardar dados de clientes por tempo indeterminado?

Em geral, não: os dados devem ser mantidos pelo tempo necessário à finalidade ou à obrigação legal. Defina prazos de retenção por tipo de dado, com apoio jurídico e do contador.

Fontes

• ANPD — Autoridade Nacional de Proteção de Dados — guias, regulamentos e comunicação de incidentes.
• Planalto — Lei 13.709/2018 — texto da LGPD.
• CERT.br — boas práticas de segurança.