LGPD falhas no tratamento de dados fiscais e trabalhistas ainda expõem empresas a risco
A proteção de dados fiscais e trabalhistas continua sendo um dos pontos mais sensíveis da rotina empresarial. Em muitas empresas, o problema não está apenas em grandes falhas tecnológicas ou em episódios extremos de vazamento. Ele começa em práticas aparentemente comuns, como compartilhar documentos por canais inadequados, manter acessos internos amplos demais, arquivar informações sem critério de necessidade ou permitir circulação de dados de funcionários sem controles claros. A LGPD se aplica ao tratamento de dados pessoais em meios físicos e digitais por pessoas jurídicas de direito privado, e exige que essas operações observem princípios como finalidade, necessidade, transparência, segurança, prevenção e responsabilização.
Na prática, isso significa que não basta guardar documentos em pasta física ou digital e presumir que a empresa já está protegida. É preciso saber quais dados são tratados, por que são tratados, quem acessa, como são compartilhados, por quanto tempo ficam armazenados e quais medidas existem para evitar uso indevido, exposição excessiva ou circulação sem necessidade. Em rotinas contábeis, fiscais e trabalhistas, esse cuidado precisa fazer parte da gestão da empresa e da estrutura dos processos, não apenas de um discurso institucional sobre privacidade.
O tema também está longe de ser meramente teórico. A atuação recente da ANPD mostra que a agenda de fiscalização e conformidade segue avançando. Em julho de 2026, a Autoridade informou que concluiu monitoramento sobre encarregados de dados e que vai avaliar sanção a 21 empresas e órgãos que não atenderam solicitações de adequação. Além disso, a própria ANPD mantém seção específica para divulgação de sanções administrativas aplicadas por descumprimento da legislação. Isso reforça que falhas de governança, comunicação e estrutura interna podem sair do campo do risco abstrato e entrar no campo das consequências concretas.
Por que os dados fiscais e trabalhistas exigem tanta atenção?
Dados fiscais e trabalhistas reúnem um conjunto de informações que, isoladas ou combinadas, permitem identificar pessoas e expõem aspectos relevantes da vida profissional e financeira dos titulares. Em uma rotina empresarial, isso pode envolver nome, CPF, endereço, dados bancários, remuneração, informações previdenciárias, documentos admissionais, registros de folha, férias, afastamentos e documentos usados em obrigações acessórias. Dependendo da operação, também podem aparecer dados classificados como sensíveis pela LGPD, como informações relacionadas à saúde, filiação sindical ou outras categorias protegidas pela lei. A própria orientação da ANPD sobre segurança da informação relembra a distinção entre dados pessoais e dados pessoais sensíveis e reforça a necessidade de tratamento compatível com o risco.
Esse conjunto de informações exige atenção redobrada porque costuma circular entre diferentes áreas da empresa e, muitas vezes, também entre terceiros. Departamento pessoal, contabilidade, fiscal, financeiro, RH, jurídico, consultorias externas e plataformas digitais podem participar de uma mesma cadeia de tratamento. Quanto mais atores acessam ou manipulam esses dados sem regras claras, maior tende a ser a exposição da empresa.
Por isso, o risco não se resume a um ataque externo. Ele também aparece quando a empresa não limita acessos, não define critérios de compartilhamento, não revisa permissões, não estrutura rotinas de descarte e não documenta suas operações. Em muitos casos, a vulnerabilidade está menos no sistema e mais no processo.
O erro mais comum não é armazenar dados, e sim tratá-los sem critério
Toda empresa precisa tratar dados para cumprir obrigações legais, tributárias, contábeis e trabalhistas. O problema, portanto, não está em existir tratamento de dados. O problema está em tratar mais do que o necessário, manter dados acessíveis a quem não precisa deles, replicar documentos em diferentes canais e não conseguir demonstrar por que aquela informação foi usada, compartilhada ou mantida.
A LGPD estabelece como princípios a finalidade, a adequação e a necessidade. Isso significa que o tratamento deve ter propósito legítimo, ser compatível com esse propósito e se limitar ao mínimo necessário para alcançar o objetivo pretendido. Em termos práticos, não basta a empresa dizer que “sempre fez assim”. É preciso verificar se a rotina atual realmente respeita esses critérios.
Em ambiente empresarial, isso faz diferença porque muitos processos foram construídos com foco exclusivo em agilidade operacional. Só que a lógica da LGPD exige um passo além: agilidade com controle. Quando documentos são enviados sem necessidade, copiados em excesso ou armazenados sem revisão, a empresa amplia exposição sem agregar valor real à operação.
Compartilhamento indevido e excesso de acessos internos continuam sendo falhas recorrentes
Uma das falhas mais comuns no tratamento de dados fiscais e trabalhistas está no compartilhamento interno ou externo sem critério proporcional. Isso acontece, por exemplo, quando documentos completos circulam por e-mail ou aplicativos sem necessidade, quando planilhas com dados de funcionários ficam acessíveis para áreas que não precisam delas ou quando informações protegidas são mantidas em diretórios com permissões genéricas.
A LGPD exige medidas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Em outras palavras, a empresa deve se preocupar não apenas com o vazamento externo, mas também com a comunicação indevida dentro da própria estrutura.
Esse ponto é especialmente importante em rotinas trabalhistas e fiscais, porque a empresa frequentemente lida com documentos completos quando, na verdade, a operação concreta precisaria apenas de parte da informação. A cultura de acesso amplo, “para garantir”, costuma ser um dos fatores que mais aumentam o risco sem necessidade.
A empresa precisa saber quem acessa, por que acessa e por quanto tempo acessa
Um programa minimamente consistente de proteção de dados não depende apenas de cláusulas contratuais ou de um aviso genérico de privacidade. Ele exige visibilidade sobre os fluxos de tratamento. Isso inclui entender quais áreas usam quais dados, em quais sistemas, com quais permissões e por qual fundamento.
Em rotinas contábeis, fiscais e trabalhistas, essa visibilidade é essencial porque os dados costumam permanecer em circulação por prazos variados e por razões diferentes. Existem obrigações legais de guarda, exigências regulatórias, necessidades operacionais e históricos que podem justificar manutenção documental. Mas isso não elimina a necessidade de mapear as operações e justificar os acessos. O próprio governo federal, em materiais orientativos sobre LGPD, destaca que agentes de tratamento devem adotar providências como mapeamento e registro das operações realizadas com dados pessoais.
Quando a empresa não sabe exatamente quem acessa o quê, em qual contexto e com qual base, a chance de inconsistência aumenta. E, sem esse controle, fica mais difícil prevenir incidentes e ainda mais difícil demonstrar conformidade depois que o problema aparece.
Segurança da informação não é só tecnologia, é governança
É comum associar proteção de dados apenas a antivírus, backup, senha forte ou firewall. Tudo isso é importante, mas não resolve sozinho. A orientação da ANPD sobre segurança da informação deixa claro que a proteção de dados envolve medidas técnicas e administrativas compatíveis com a realidade do agente de tratamento. Isso significa que tecnologia sem processo continua deixando espaço para falhas, assim como processo sem controle técnico também é insuficiente.
No universo das rotinas fiscais e trabalhistas, governança significa, entre outras coisas, definir responsáveis, revisar acessos, padronizar compartilhamentos, orientar equipes, limitar exposição documental, organizar armazenamento e estabelecer resposta para situações de incidente. Em muitos casos, o problema mais grave não é o primeiro erro, mas a ausência de um método claro para perceber o erro e reagir a ele.
Esse olhar é importante porque a LGPD não trata apenas de privacidade como valor abstrato. Ela trata de práticas concretas de tratamento de dados e da capacidade de o agente demonstrar diligência, prevenção e prestação de contas.
Quando ocorre incidente, comunicar à ANPD não basta por si só
Outro ponto que merece atenção é a gestão de incidentes. A ANPD esclarece que a obrigação do artigo 48 da LGPD não se cumpre apenas com a comunicação do incidente à Autoridade. Havendo risco ou dano relevante, o controlador também deve comunicar o ocorrido aos titulares dos dados pessoais afetados. Isso mostra que a resposta a incidentes precisa ser estruturada e não pode ser improvisada apenas quando o problema já aconteceu.
Na prática, isso exige que a empresa tenha critérios para identificar incidentes, avaliar gravidade, registrar fatos, adotar medidas de contenção e decidir sobre comunicação. Em rotinas que envolvem dados de empregados, prestadores e titulares vinculados a obrigações fiscais, esse tipo de falha pode ter reflexos relevantes não apenas jurídicos, mas também reputacionais e operacionais.
Por isso, a maturidade em proteção de dados não se mede apenas pela ausência de vazamentos conhecidos. Ela também se mede pela capacidade de prevenção, detecção e resposta.
O papel do encarregado e a importância da estrutura mínima de conformidade
A LGPD e a regulamentação da ANPD também dão importância à figura do encarregado pelo tratamento de dados pessoais. Em julho de 2024, a Autoridade aprovou regulamento específico sobre a atuação do encarregado, e publicou guia orientativo mais detalhado sobre essa função. Em linhas gerais, o encarregado ajuda na comunicação com titulares e com a ANPD, e assessora o agente de tratamento quanto à observância de procedimentos e regras aplicáveis às operações com dados pessoais.
Isso não significa que toda empresa precise reproduzir a mesma estrutura ou criar um modelo excessivamente complexo. Mas significa, sim, que a proteção de dados precisa ter responsáveis, canais e rotinas minimamente definidos. A própria atuação recente da ANPD com monitoramento de empresas e órgãos por falta de adequação em relação ao encarregado reforça que o tema não pode ser tratado como detalhe secundário.
Para a Salera & Araújo, esse é um ponto central: conformidade não nasce de uma peça isolada, mas de um método que transforma exigência legal em processo aplicável à realidade da empresa.
Por que o problema é também contábil, fiscal e trabalhista, e não apenas jurídico?
Muitas empresas ainda tratam a LGPD como um tema restrito ao jurídico ou à tecnologia. Só que, quando o assunto envolve documentos fiscais, folha, admissões, rescisões, guias, relatórios e dados de colaboradores, a questão se torna inevitavelmente contábil, fiscal e trabalhista também.
É nessas rotinas que os dados circulam com mais frequência. É nessas áreas que surgem acessos, compartilhamentos, arquivos, integrações e obrigações de guarda. E é justamente por isso que o cumprimento da LGPD não pode ficar desconectado da operação. Quando a proteção de dados é pensada apenas no plano teórico, mas não chega aos processos reais da empresa, a vulnerabilidade permanece.
Na visão da Salera & Araújo, o tema precisa ser incorporado à rotina de gestão com clareza e método. Não se trata de transformar toda empresa em especialista em privacidade, mas de estruturar processos de forma coerente com o risco que ela já assume diariamente ao tratar dados pessoais.
O que a empresa deve revisar desde já?
O primeiro passo é reconhecer que dados fiscais e trabalhistas não podem circular sem critério. A partir daí, a empresa precisa revisar seus fluxos de documentos, acessos, compartilhamentos, armazenamento e descarte. Também vale observar se existem políticas internas aplicáveis, se os times sabem como agir, se terceiros estão adequadamente integrados e se a empresa consegue demonstrar o motivo pelo qual trata cada categoria de dado.
A base legal, a finalidade do tratamento e a segurança adotada não podem existir apenas no papel. Elas precisam aparecer na prática. Esse tipo de revisão costuma trazer ganhos que vão além da conformidade: melhora organização, reduz improviso, fortalece controle e diminui risco de exposição desnecessária.
Proteção de dados também é organização empresarial
A discussão sobre LGPD muitas vezes começa na privacidade, mas amadurece na gestão. Quando a empresa organiza seus fluxos de dados, define acessos, documenta processos e reduz circulação desnecessária de informações, ela não está apenas atendendo à lei. Ela está também construindo um ambiente mais seguro, mais previsível e mais profissional.
Esse é exatamente o tipo de visão que faz diferença no dia a dia da empresa. A Salera & Araújo entende que clareza, rigor técnico e atendimento próximo também passam por ajudar o empresário a enxergar onde estão os riscos silenciosos da rotina. E, entre eles, o tratamento inadequado de dados fiscais e trabalhistas merece atenção real.
Se a sua empresa quer mais clareza sobre organização, conformidade e segurança nas rotinas de dados, entre em contato com a Salera & Araújo e conte com apoio técnico para conduzir suas decisões com mais segurança.
Leia Também