Faça um mapa do caminho de uma ficha
Considere uma academia fictícia em que o aluno preenche um formulário, envia um vídeo por mensagem e recebe uma ficha por aplicativo. A recepção mantém o cadastro, o profissional consulta as informações necessárias ao acompanhamento e uma planilha paralela registra horários. Sem um mapa, a equipe pode nem perceber quantas cópias existem. O primeiro passo é listar entrada, armazenamento, uso e compartilhamento de cada conjunto de dados.
Separe informações de agenda, condições comerciais e registros do acompanhamento. Elas podem ter finalidades e necessidades de acesso diferentes. Não significa criar isolamento impraticável, mas evitar que toda pessoa com acesso a um telefone ou planilha consiga ver tudo. Anote também quem administra cada ferramenta e o que acontece quando um integrante deixa a equipe ou troca de função.
Revise campos que existem apenas por hábito
Um formulário pode ter sido copiado de outro serviço e pedir informações que ninguém utiliza. Para cada campo, pergunte qual decisão ele apoia, quem precisa consultá-lo e em que etapa é necessário. Não recolha dados apenas porque talvez sejam úteis algum dia. Informações relacionadas à saúde exigem atenção específica, e a escolha da base legal e das condições de tratamento não deve ser resolvida por um texto genérico colado no final do formulário.
No exemplo da academia, a recepção precisa confirmar horário e contato, mas pode não precisar acessar todos os relatos enviados ao profissional. A equipe deve desenhar o fluxo com essa diferença em mente. Explique ao aluno a finalidade e os canais utilizados. Se a operação tiver dúvidas sobre obrigações, contratos de plataformas ou tratamento de dados sensíveis, procure orientação qualificada para o caso concreto.
Cuide das cópias que ficam fora do sistema principal
Mesmo quando a plataforma tem controle de acesso, vídeos baixados no celular, fichas anexadas a mensagens e planilhas exportadas podem permanecer em outros lugares. Inclua essas cópias no mapa. Utilize contas individuais quando possível, proteja dispositivos e revise permissões. A ANPD disponibiliza um guia de segurança para agentes de pequeno porte com orientações que ajudam a estruturar medidas administrativas e técnicas proporcionais ao contexto.
Imagine que um profissional sai da academia e continua em um grupo com arquivos de alunos. O desligamento deveria acionar uma revisão de acessos, não depender de alguém perceber semanas depois. O mesmo vale para links compartilhados sem restrição. Faça testes com uma conta que não deveria ter acesso e confira se o conteúdo está realmente protegido. Uma pasta com nome privado não comprova uma permissão adequada.
Defina conservação, solicitações e resposta a problemas
Estabeleça um processo para localizar registros, corrigir dados e encaminhar solicitações do aluno. Determine critérios de conservação conforme finalidade e obrigações aplicáveis, sem adotar exclusão imediata ou guarda eterna como regra automática. Quando uma informação deixa de ser necessária, a decisão sobre descarte precisa considerar o contexto. Registre quem pode executá-la e como as cópias serão tratadas.
Se um link for enviado à pessoa errada, interrompa o compartilhamento quando possível, preserve o registro do ocorrido e avalie as providências cabíveis com os responsáveis. Não esconda o problema nem improvise uma conclusão jurídica. Este roteiro é um ponto de organização, não uma auditoria de conformidade. Seu resultado prático deve ser uma equipe capaz de explicar quais dados mantém, por qual motivo, onde estão e quem consegue acessá-los.
Fontes e referências
- ANPD — Guia de segurança da informação para agentes de tratamento de pequeno porte ↗
- ANPD — Perguntas frequentes sobre proteção de dados pessoais ↗
Exemplos didáticos não constituem prescrição individual. Verifique as fontes e a habilitação correspondente à atividade profissional.
