Saiba como classificar riscos, acompanhar tratamentos de dados pessoais, definir alertas e registrar correções em uma rotina contínua e proporcional.
Uma pequena empresa de serviços recebe contatos pelo site, transfere os cadastros para um CRM e envia comunicações por uma plataforma de e-mail. O diagnóstico de LGPD foi concluído, mas a operação continuou mudando: surgiram novos campos no formulário, funcionários trocaram de função e outro fornecedor passou a receber dados. Sem uma rotina de acompanhamento, inventários, contratos e políticas deixam de representar o trabalho real. Personal Data Monitoring oferece um método operacional para perceber essas mudanças, selecionar o que merece atenção e documentar decisões. A proposta não é observar tudo o tempo todo nem prometer conformidade automática. É combinar critérios verificáveis, revisões por evento, ciclos periódicos, responsáveis e evidências suficientes para identificar desvios e confirmar se as correções funcionaram.
Principais pontos
- O monitoramento de dados pessoais acompanha mudanças e desvios que um diagnóstico pontual não consegue capturar.
- Uma classificação interna verificável pode considerar sensibilidade, escala, exposição, decisões sobre indivíduos, terceiros e impacto potencial.
- O escopo mínimo deve abranger coleta, acesso, compartilhamento, retenção, descarte, fornecedores e direitos dos titulares.
- Revisões periódicas não substituem revisões acionadas por mudanças, incidentes, reclamações ou novos fornecedores.
- Indicadores precisam ter fórmula, limite de escalonamento, responsável e ação associada.
- Uma evidência útil demonstra o evento identificado, a decisão tomada, o responsável, o prazo e a confirmação da correção.
- Monitorar dados não autoriza vigilância indiscriminada de trabalhadores, clientes ou fornecedores.
O que é Personal Data Monitoring na prática
Personal Data Monitoring pode ser traduzido como monitoramento de dados pessoais. A expressão não designa uma obrigação jurídica autônoma nem uma ferramenta determinada pela LGPD. Na prática, representa o acompanhamento estruturado de como dados entram na organização, circulam entre áreas e sistemas, são acessados, compartilhados, conservados e eliminados. Esse acompanhamento conecta o inventário de tratamentos à operação que efetivamente ocorre.
Quando a empresa de serviços contrata uma nova plataforma de atendimento, por exemplo, o monitoramento deve permitir identificar quais campos serão enviados, quais perfis terão acesso, se haverá novo fornecedor ou transferência internacional, por quanto tempo o conteúdo será mantido e como ocorrerá o descarte. O alcance inclui sistemas, processos manuais, contratos, integrações, arquivos locais e decisões capazes de alterar finalidade, necessidade, segurança ou direitos dos titulares.
Monitorar tratamentos não significa vigiar pessoas indiscriminadamente. Caso a atividade registre produtividade, localização, comunicações ou comportamento individual de trabalhadores, o próprio monitoramento será um tratamento de dados e exigirá finalidade determinada, necessidade, transparência, segurança e hipótese legal adequada. O interesse legítimo não deve ser adotado como justificativa automática: sua eventual aplicação requer análise jurídica contextual da finalidade, da necessidade, das expectativas legítimas, da proporcionalidade, dos impactos e das salvaguardas, nos termos da LGPD, especialmente de seu artigo 10. Em relações de trabalho, também precisam ser consideradas a assimetria entre as partes e as normas trabalhistas aplicáveis.
Ferramentas podem gerar alertas, comparar configurações e organizar chamados, mas não decidem sozinhas se uma coleta é necessária ou se determinado compartilhamento é compatível com a finalidade informada. A organização continua responsável por definir critérios, avaliar contexto, tomar decisões e limitar a própria coleta de registros de monitoramento.
Por que a conformidade não pode depender de um diagnóstico isolado
Um diagnóstico funciona como fotografia inicial da empresa. Depois dele, equipes mudam, integrações são ativadas, formulários ganham campos e campanhas criam novas coletas. Na empresa do cenário, a regra interna proíbe salvar cadastros localmente, mas vendedores começaram a exportar contatos para planilhas pessoais. A política continuou correta no papel e deixou de refletir a rotina.
Acompanhamentos regulares permitem descobrir divergências antes que se acumulem. O registro das verificações também forma uma trilha de decisões: mostra o que foi percebido, quem avaliou, quais critérios foram aplicados, qual correção foi escolhida e quando houve nova conferência. Essa prática possui relação legal direta com o princípio da responsabilização e prestação de contas do artigo 6º, inciso X, da LGPD, segundo o qual o agente deve demonstrar a adoção de medidas eficazes capazes de comprovar a observância das normas de proteção de dados. A fonte oficial é a Lei nº 13.709/2018, disponível no portal Planalto.
A proporcionalidade precisa ser convertida em regra operacional. O modelo abaixo é uma referência interna, e não uma escala criada pela LGPD. Antes de utilizá-lo, a empresa deve documentar seus critérios e definir um limite numérico de escala compatível com sua realidade, como quantidade de titulares ou registros. Cada resposta positiva soma um ponto: presença de dados sensíveis; volume acima do limite interno aprovado; acesso externo ou exposição à internet; uso para perfilamento ou decisão com efeito relevante; compartilhamento com dois ou mais terceiros ou transferência internacional; e possibilidade de impacto relevante sobre direitos, finanças, reputação, segurança ou não discriminação.
Com zero ou um ponto, o fluxo pode ser classificado como baixo risco; com dois ou três, como médio; com quatro a seis, como alto. Independentemente da soma, o fluxo deve subir para alto risco quando combinar dados sensíveis com decisão relevante sobre indivíduos ou quando um incidente, requisito regulatório setorial ou avaliação jurídica indicar impacto elevado. A classificação precisa indicar as evidências consultadas e ser refeita quando houver mudança de finalidade, sistema, fornecedor, público, volume ou categoria de dados.
| Classificação | Critério documentado | Revisão periódica sugerida | Revisão por evento |
|---|---|---|---|
| Baixo | 0 ou 1 critério positivo, sem regra de elevação | A cada 12 meses | Obrigatória diante de mudança relevante ou desvio |
| Médio | 2 ou 3 critérios positivos | A cada 6 meses | Obrigatória diante de mudança relevante ou desvio |
| Alto | 4 a 6 critérios positivos ou regra de elevação | A cada 3 meses; controles críticos podem ser mensais | Obrigatória e prioritária diante de mudança relevante ou desvio |
O que deve entrar no escopo do monitoramento
O escopo deve acompanhar o fluxo completo, e não apenas o sistema considerado principal. No cenário adotado, formulário, CRM e plataforma de e-mail formam uma cadeia única. Observar somente o CRM esconderia alterações na coleta, exportações locais e transferências feitas pela integração.
Sete dimensões compõem um escopo mínimo: coleta, acesso, compartilhamento, retenção, descarte, fornecedores e direitos dos titulares. Para cada uma, a organização precisa formular uma pergunta de controle, indicar onde a resposta pode ser verificada e definir o que acontecerá quando houver divergência. Segurança, incidentes e governança atravessam todas essas dimensões, mas não substituem a análise de finalidade e necessidade.
Evidência útil é contextualizada. Uma captura de configuração pode demonstrar a remoção de uma permissão, desde que esteja associada ao sistema, à data, ao chamado e ao responsável. Um arquivo acumulado sem contexto não demonstra por que a decisão foi tomada e ainda pode criar uma nova base de dados desnecessária. Sempre que possível, registre a conclusão e a referência da evidência, em vez de copiar dados pessoais para o relatório.
| Dimensão | Pergunta de controle | Evidência verificável | Exemplo de desvio |
|---|---|---|---|
| Coleta | Cada campo possui finalidade definida e é necessário para alcançá-la? | Versão do formulário, registro de finalidade e aprovação da área | Coleta de data de nascimento sem uso demonstrado |
| Acesso | Os acessos correspondem às funções atuais e seguem o menor privilégio? | Relatório de perfis, revisão aprovada e configuração corrigida | Profissional transferido mantém acesso integral ao CRM |
| Compartilhamento | O destinatário, a finalidade e os dados enviados estão registrados? | Mapa de integração, registro do tratamento e instrumento aplicável | Exportação para planilha pessoal ou área não autorizada |
| Retenção | Existe prazo ou critério de conservação associado à finalidade e às obrigações aplicáveis? | Tabela de retenção, configuração do sistema e amostra de verificação | Cadastros inativos conservados sem critério documentado |
| Descarte | O dado é eliminado ou anonimizado ao fim do prazo, inclusive em cópias controláveis? | Chamado de descarte, relatório técnico ou confirmação do responsável | Rotina prevista existe no papel, mas nunca foi executada |
| Fornecedores | O fornecedor recebe apenas o necessário e possui avaliação e instrumento vigentes? | Inventário de fornecedores, avaliação, contrato e registro da integração | Nova plataforma começa a receber dados antes da análise |
| Direitos dos titulares | O pedido é autenticado, encaminhado, respondido e encerrado de forma rastreável? | Protocolo, validação, decisão, resposta e data de envio | Solicitação permanece sem responsável ou resposta comprovada |
Como criar um ciclo enxuto de monitoramento
A implantação pode usar o diagnóstico e o inventário de tratamentos como ponto de partida, sem presumir que estejam atualizados. Primeiro, escolha um fluxo completo e confirme a realidade com as áreas. Depois, aplique a classificação de risco, determine controles, cadência e eventos que obrigam uma revisão extraordinária.
A revisão por evento é a escolha adequada quando ocorre uma mudança capaz de alterar finalidade, categorias de dados, titulares, acesso, compartilhamento, retenção ou impacto. São exemplos: adoção de software, criação de formulário, nova campanha, integração, fornecedor, transferência internacional, mudança de função, reclamação recorrente, incidente ou descoberta de coleta não registrada. Ela não deve aguardar a próxima data periódica.
A revisão periódica serve para detectar mudanças silenciosas e confirmar que controles continuam funcionando mesmo sem evento conhecido. A frequência pode seguir as faixas trimestral, semestral e anual do modelo de risco. Um controle tecnicamente crítico dentro de um fluxo de alto risco, como contas privilegiadas, pode ser verificado mensalmente. Essas cadências são escolhas internas sugeridas, não prazos gerais impostos pela LGPD.
Cada área que executa o tratamento deve participar. RH, marketing, vendas, tecnologia e atendimento percebem mudanças antes da coordenação de privacidade. O encarregado ou outro coordenador pode consolidar critérios e orientar o escalonamento, mas não substitui os responsáveis operacionais. Mudanças de maior impacto podem exigir análise jurídica, de segurança ou um relatório de impacto, conforme o caso.
- Confirme o fluxo real com inventário, sistemas, contratos e responsáveis das áreas.
- Aplique os critérios de risco e registre a justificativa da classificação.
- Defina controles, evidências, revisão periódica e gatilhos por evento.
- Atribua um responsável por verificar e outro por aprovar ou escalar quando necessário.
- Registre o achado, a decisão, o prazo, a ação e a evidência correspondente.
- Verifique a eficácia após a correção e encerre somente com resultado comprovado.
| Campo | Conteúdo mínimo |
|---|---|
| Identificação | Fluxo, sistema ou fornecedor verificado |
| Contexto | Data, revisão periódica ou evento que iniciou a análise |
| Risco | Classificação, critérios positivos e eventual regra de elevação |
| Achado | Fato observado e referência da evidência, sem cópia excessiva de dados |
| Decisão | Manter, corrigir, suspender, investigar ou submeter à análise especializada |
| Execução | Responsável, prazo, prioridade e ação realizada |
| Validação | Data da nova verificação, resultado e responsável pela confirmação |
Indicadores e sinais de alerta que merecem acompanhamento
Indicadores medem desempenho; alertas apontam uma condição que exige análise; obrigações legais estabelecem deveres que não podem ser redefinidos pelo painel interno. Misturar esses elementos pode levar a empresa a tratar uma meta administrativa como se fosse prazo legal ou, no sentido oposto, esperar que uma média ruim substitua a avaliação imediata de um incidente.
As métricas abaixo são exemplos calculáveis de governança. Seus limites de escalonamento são parâmetros internos e devem ser ajustados ao volume, ao risco e à capacidade da organização. Todo indicador precisa informar período de apuração, fonte, responsável pela atualização e ação esperada. Resultado sem ação associada é apenas informação acumulada.
Quanto aos direitos dos titulares, o artigo 19 da LGPD determina que a confirmação de existência ou o acesso a dados pessoais seja fornecido, mediante requisição, em formato simplificado imediatamente ou por declaração clara e completa em até 15 dias, contados da data do requerimento. A declaração completa deve observar os elementos previstos no próprio artigo. Essa interpretação pode ser confirmada na fonte oficial, a Lei nº 13.709/2018, artigo 19, no portal Planalto: https://www.planalto.gov.br/ccivil03/ato2015-2018/2018/lei/l13709.htm. O painel deve diferenciar as duas formas de atendimento e considerar também a necessidade de autenticação segura do solicitante.
Em incidentes, não se deve aguardar o fechamento mensal dos indicadores. A Resolução CD/ANPD nº 15/2024 determina a comunicação pelo controlador à ANPD e aos titulares afetados quando o incidente puder acarretar risco ou dano relevante, em três dias úteis. O prazo é contado do conhecimento, pelo controlador, de que o incidente afetou dados pessoais. O regulamento ressalva prazo específico previsto em legislação e deve ser lido com as regras aplicáveis aos agentes de tratamento de pequeno porte, inclusive quanto a prazo em dobro para comunicação à ANPD quando cabível. O operador deve informar o controlador sem demora injustificada para viabilizar a avaliação. br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos.
Nem todo evento de segurança exige comunicação. Primeiro, o controlador precisa apurar se houve comprometimento de dados pessoais e avaliar a possibilidade de risco ou dano relevante segundo os critérios do regulamento. A decisão, inclusive de não comunicar, deve ser fundamentada e registrada. Dúvidas sobre o marco inicial, a relevância do risco, a condição de agente de pequeno porte ou a incidência de norma setorial devem ser encaminhadas para avaliação jurídica e de privacidade.
| Métrica ou alerta | Cálculo ou condição | Limite interno de escalonamento | Ação associada |
|---|---|---|---|
| Pedidos no prazo | Pedidos concluídos no prazo aplicável ÷ pedidos concluídos no período × 100 | Abaixo de 100% ou qualquer pedido sem responsável | Designar responsável, apurar causa e priorizar pedidos próximos do prazo |
| Consumo do prazo de atendimento | Dias úteis decorridos ÷ prazo aplicável × 100 | A partir de 80% | Escalar ao coordenador e remover impedimentos antes do vencimento |
| Acessos incompatíveis | Contas ou permissões incompatíveis ÷ itens revisados × 100 | Qualquer conta de ex-colaborador ou acesso privilegiado injustificado | Bloquear ou ajustar, avaliar uso anterior e confirmar a correção |
| Correções vencidas | Ações vencidas e abertas ÷ ações abertas × 100 | Acima de 10% ou qualquer ação crítica vencida | Escalar ao gestor, redefinir recursos e registrar nova decisão |
| Descarte comprovado | Rotinas executadas com evidência ÷ rotinas previstas × 100 | Abaixo de 95% | Identificar sistemas pendentes, executar o descarte e testar novamente |
| Fornecedores sem avaliação vigente | Fornecedores pendentes ÷ fornecedores que tratam dados × 100 | Qualquer fornecedor de alto risco pendente | Suspender nova transferência quando viável e concluir avaliação prioritária |
| Possível incidente | Indício de acesso, perda, alteração, destruição ou divulgação não autorizada | Qualquer ocorrência plausível | Conter, preservar evidências, informar o controlador e iniciar avaliação regulatória imediatamente |
Um exemplo de monitoramento aplicado a uma PME
Durante uma revisão acionada pela alteração do site, a empresa de serviços identifica um campo novo que solicita a data de nascimento de contatos corporativos. A equipe não consegue relacioná-lo à finalidade comercial informada. Ao mesmo tempo, a conferência do CRM revela que dois profissionais transferidos para outra função mantêm acesso à base completa.
O fluxo havia sido classificado como médio risco por envolver compartilhamento com fornecedores e exposição do formulário na internet. A inclusão do campo não estava prevista no inventário e, por isso, acionou uma revisão por evento sem aguardar a conferência semestral. A empresa confirmou a versão do formulário, consultou marketing e vendas e registrou que o dado não era necessário para o atendimento comercial.
A resposta combina medidas proporcionais: remover o campo, verificar se os valores já coletados podem ser eliminados, ajustar as permissões e atualizar o registro do tratamento. O responsável abre um chamado interno, vincula a aprovação das áreas e preserva somente as referências necessárias para demonstrar a configuração corrigida. Se a apuração indicasse acesso indevido ou outro possível incidente, seria iniciado o procedimento específico de resposta e avaliação regulatória.
Após sete dias, prazo interno escolhido para esse caso e não imposto pela LGPD, outra pessoa confere se o campo não reapareceu, se os dados coletados foram tratados conforme a decisão e se os perfis permanecem limitados. A nova verificação evita encerrar o chamado apenas porque alguém informou que a tarefa foi concluída.
O registro final demonstra o gatilho, a análise de necessidade, a ação executada e a validação posterior. Essa evidência contextualizada apoia os princípios de finalidade, necessidade, segurança, prevenção e responsabilização, mas não transforma o processo em garantia de risco zero. Se o formulário ou a integração mudar novamente, o ciclo recomeça.
Erros que tornam o monitoramento caro ou ineficaz
Falhas de monitoramento podem ser reconhecidas por sintomas observáveis. Um painel com centenas de alertas não encerrados, por exemplo, indica que a organização automatizou a detecção sem criar capacidade de decisão. Já revisões que sempre encontram inventários desatualizados sugerem que os eventos de mudança não estão chegando aos responsáveis.
A correção deve atuar sobre a causa, e não apenas acrescentar reuniões ou relatórios. Se a área de privacidade recebe tarde a informação sobre novos fornecedores, a resposta específica pode ser incluir uma etapa obrigatória no processo de contratação. Se contas antigas permanecem ativas, a integração entre mudança de função, desligamento e gestão de acessos precisa ser revista.
O monitoramento também perde eficácia quando assume caráter indiscriminadamente punitivo. Trabalhadores podem ocultar erros e reduzir a qualidade das informações fornecidas. Isso não elimina a responsabilização individual quando cabível, mas recomenda canais de relato, critérios de gravidade e escalonamento conhecidos, com foco inicial em contenção, correção e prevenção de recorrência.
| Falha | Sintoma observável | Consequência prática | Correção |
|---|---|---|---|
| Comprar ferramenta antes de definir critérios | Muitos alertas repetidos e poucos encerramentos fundamentados | Custo operacional e perda de eventos relevantes no ruído | Definir perguntas, responsáveis, prioridades e regras de fechamento antes da automação |
| Centralizar tudo em uma pessoa | Mudanças chegam tarde e chamados acumulam durante ausências | Dependência individual e inventário desatualizado | Nomear responsáveis por área e manter coordenação e substituição formal |
| Registrar sem verificar | Chamados constam como concluídos sem evidência posterior | O desvio pode permanecer ou reaparecer | Exigir validação independente ou amostral conforme o risco |
| Monitorar apenas segurança | Permissões são revisadas, mas campos e prazos de retenção crescem | Tratamentos desnecessários permanecem fora do controle | Aplicar o escopo mínimo de sete dimensões |
| Coletar evidência em excesso | Relatórios copiam bases, mensagens ou documentos completos | Criação de novos riscos, acessos e custos de retenção | Guardar conclusão, referência e amostra mínima, com acesso limitado |
| Confundir conformidade com vigilância | Registro contínuo de comportamento sem finalidade ou transparência claras | Impacto sobre direitos e possível incompatibilidade jurídica ou trabalhista | Suspender a expansão, avaliar necessidade e hipótese legal e adotar análise jurídica contextual |
| Tratar todo desvio como incidente grave | Escalonamentos frequentes sem avaliação de dados e impacto | Fadiga, atraso e uso inadequado de recursos | Separar não conformidade, alerta técnico e possível incidente com critérios documentados |
Perguntas frequentes
Personal Data Monitoring é uma exigência específica da LGPD?
Não com esse nome. É uma abordagem operacional que apoia o cumprimento de deveres e princípios da LGPD, como finalidade, necessidade, segurança, prevenção e responsabilização e prestação de contas. Os controles devem ser definidos conforme os tratamentos, os riscos e as normas aplicáveis.
Qual é a diferença entre monitoramento de dados pessoais e monitoramento de trabalhadores?
O primeiro acompanha fluxos, coletas, acessos, retenção, fornecedores, direitos e desvios. O segundo observa atividades ou comportamentos de pessoas e constitui tratamento próprio. Ele exige análise específica de finalidade, necessidade, transparência, proporcionalidade, segurança, hipótese legal e normas trabalhistas. Interesse legítimo não é justificativa automática.
Uma pequena empresa precisa usar uma ferramenta de monitoramento?
Não necessariamente. Uma planilha com acesso controlado, um sistema de chamados e revisões documentadas podem sustentar a rotina inicial. A ferramenta faz sentido quando reduz trabalho e melhora a rastreabilidade sem produzir alertas excessivos ou nova coleta desnecessária.
Com que frequência os tratamentos de dados devem ser revisados?
A LGPD não fixa uma frequência geral. Como referência interna, fluxos de baixo, médio e alto risco podem ser revisados, respectivamente, a cada 12, 6 e 3 meses, com controles críticos mais frequentes. Mudanças de finalidade, sistemas, formulários, fornecedores, acessos, incidentes ou reclamações devem gerar revisão por evento sem aguardar o ciclo periódico.
O prazo de 15 dias do artigo 19 vale para qualquer resposta ao titular?
O artigo 19 prevê duas formas para confirmação de existência ou acesso: formato simplificado imediatamente ou declaração clara e completa em até 15 dias contados do requerimento. Outros direitos e situações podem exigir análise de dispositivos e regulamentos próprios. A autenticação do solicitante e a segurança da resposta também precisam ser consideradas.
Quando começa o prazo para comunicar um incidente à ANPD?
Segundo a Resolução CD/ANPD nº 15/2024, o prazo de três dias úteis é contado do conhecimento, pelo controlador, de que o incidente afetou dados pessoais. A comunicação à ANPD e aos titulares é exigida quando houver possibilidade de risco ou dano relevante. Existem ressalvas, como prazo específico em legislação, e regras próprias podem alcançar agentes de pequeno porte; por isso, a aplicabilidade deve ser verificada no caso concreto.
Quais evidências de monitoramento a empresa deve guardar?
Guarde registros proporcionais que indiquem fluxo, data, gatilho, risco, achado, decisão, responsável, prazo, ação e confirmação da correção. Prefira referências e evidências mínimas a cópias integrais de bases, mensagens ou documentos com dados pessoais.
Conclusão
O Personal Data Monitoring mantém a governança conectada à operação real. Para começar, selecione um fluxo completo, aplique critérios verificáveis de risco e cubra coleta, acesso, compartilhamento, retenção, descarte, fornecedores e direitos dos titulares. Combine revisão periódica com gatilhos por evento, pois uma data futura não deve adiar a análise de uma mudança relevante ou de um possível incidente. Registros simples, indicadores calculáveis e uma nova verificação após a correção tornam as decisões demonstráveis. O próximo passo prático é escolher um tratamento, preencher o modelo mínimo de registro, classificar seu risco e testar um ciclo completo com a área responsável.
