Incidentes de segurança e ameaça interna: o que o relatório de governança em privacidade 2026 sinaliza para controles, cultura e resposta a incidentes
A maior parte dos incidentes registrados nasce de falhas de controle de acesso e de comportamento humano, não de ataques externos, e se concentra nos meses de maior atividade operacional.
Quando se fala em incidente de segurança, o imaginário costuma apontar para o ataque externo sofisticado. O Relatório de Governança em Privacidade 2026, produzido pela Be.Aliant a partir de registros de 659 empresas em 2025, sugere um quadro diferente e, para o compliance, mais incômodo: boa parte dos incidentes tem origem interna, em falhas de controle de acesso e de conduta, e não em invasões.
O dado importa porque muda o foco da resposta. Se o problema estivesse concentrado em ataques externos, a solução seria predominantemente tecnológica. Como o relatório aponta para o comportamento humano e para a governança de acessos, a resposta passa a depender tanto de controles quanto de cultura, terreno em que o programa de integridade tem papel direto.
A tipologia dos incidentes: a ameaça interna pesa tanto quanto a externa
O relatório mostra que o compartilhamento indevido de dados (21,6%) e a divulgação indevida de dados pessoais (19,8%) somam mais de 40% dos incidentes registrados. A disponibilização indevida de acesso responde por outros 18,7%. Esse conjunto aponta para falhas de controle de acesso e de governança de dados, e não necessariamente para ataques externos. O padrão sugere que a ameaça interna é tão relevante quanto a externa.
O meio de descoberta reforça a leitura. A maior parte dos incidentes foi identificada pelo próprio controlador (38,8%) ou por denúncia de titulares e terceiros (29,7%). Apenas 4,2% chegaram ao conhecimento da organização por notificação do operador, o que indica fragilidade nos mecanismos de monitoramento com fornecedores. A dependência da descoberta interna ou da reclamação de terceiros mostra que faltam sensores automáticos e trilhas de auditoria capazes de detectar o problema na origem.
A sazonalidade é um dado acionável
Um dos achados mais úteis do estudo é a distribuição temporal. Os incidentes se concentram no segundo semestre, com destaque para junho (11,8%), setembro (11,2%), outubro (12%) e dezembro (15%). O pico de dezembro merece atenção especial, porque coincide com fechamento de ciclo, migrações de sistema, acessos excepcionais e períodos em que as equipes estão reduzidas.
Essa previsibilidade transforma a sazonalidade em ferramenta de prevenção. Se os meses de maior risco são conhecidos, é possível programar revisões de acesso, testes de segurança e monitoramento reforçado justamente nas janelas mais críticas. Poucos controles oferecem retorno tão alto com esforço tão controlável quanto uma agenda preventiva ancorada em dados históricos.
A base normativa: dever de comunicar e prazo definido
No regime da LGPD, incidente de segurança é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. O art. 48 impõe ao controlador o dever de comunicar à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante.
O contorno prático desse dever foi detalhado pela Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança. A norma fixou o prazo de três dias úteis, contados do conhecimento do incidente que afete dados pessoais, para a comunicação à ANPD e aos titulares, além de prever comunicação complementar e a guarda dos registros por, no mínimo, cinco anos. O prazo curto tem consequência direta: sem um plano de resposta estruturado e testado, a organização dificilmente reunirá as informações, avaliará o risco e comunicará dentro da janela regulatória.
Onde entra o programa de integridade
Incidentes originados em compartilhamento indevido e em disponibilização indevida de acesso costumam ter raiz em comportamento humano, não em falha técnica. É nesse ponto que a fronteira entre segurança da informação e integridade se dissolve. Programas de capacitação continuada, políticas claras de acesso e cultura de responsabilidade sobre dados são intervenções preventivas de alto retorno, e todas pertencem ao repertório do compliance.
A integração de funções também importa. A resposta a um incidente envolve segurança da informação, privacidade, jurídico e, com frequência, a área responsável pela apuração interna. Quando esses fluxos não estão desenhados, a organização perde tempo precioso na única janela em que a resposta ainda pode conter o dano. A governança de dados, nesse ponto, é menos uma questão de tecnologia e mais de processos e distribuição de responsabilidades.
Riscos típicos
– Concentrar a estratégia de segurança na defesa contra ataques externos, subestimando o peso da ameaça interna e das falhas de controle de acesso.
– Operar sem plano de resposta a incidentes testado, o que compromete o cumprimento do prazo de três dias úteis fixado pela ANPD.
– Depender da descoberta pelo próprio controlador ou por terceiros, diante da ausência de trilhas de auditoria e de reporte pelos operadores.
– Ignorar a sazonalidade dos incidentes, deixando de reforçar controles nos meses de maior exposição.
– Tratar o incidente como assunto exclusivo da área técnica, sem integrar privacidade, jurídico e apuração interna.
Oportunidades
– Implementar um plano de controles para o segundo semestre, com revisões de acesso, testes e monitoramento reforçado em junho, setembro, outubro e dezembro.
– Estruturar e testar um plano de resposta a incidentes que assegure a comunicação no prazo regulatório e a guarda dos registros por cinco anos.
– Fortalecer a segregação de funções e a gestão de acessos, atacando a principal origem dos incidentes registrados.
– Investir em capacitação continuada das equipes, tratando o comportamento humano como controle preventivo, e não apenas como fonte de risco.
– Integrar segurança da informação, privacidade e apuração interna em um fluxo único de resposta, reduzindo o tempo de reação.
A conclusão que o relatório sugere é que a tecnologia, isoladamente, não resolve o problema dos incidentes. A tipologia dos casos aponta para controles de acesso, processos e cultura, e a sazonalidade oferece um mapa de quando agir. Para as organizações, isso significa que a resposta a incidentes deixou de ser tema restrito à área técnica e passou a exigir a mesma lógica de prevenção, integração e accountability que estrutura um bom programa de integridade. Quem trata a governança de dados como parte da cultura corporativa, e não como projeto pontual, chega mais preparado à próxima janela de risco.
Fontes
BE.ALIANT. Relatório de Governança em Privacidade 2026: uma análise empírica da maturidade da gestão dos dados pessoais das empresas brasileiras. São Paulo: Be.Aliant, 2026. Disponível em: www.bealiant.com.br. Acesso em: 14 jul. 2026.
BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Disponível em: gov.br/anpd. Acesso em: 14 jul. 2026.
Read More
Monitoramento, algoritmos e privacidade: o que as orientações do CNPD sinalizam para conformidade e gestão de dados
O relatório final do Grupo de Trabalho 1 do Conselho Nacional de Proteção de Dados traz orientações concretas sobre os limites ao monitoramento de trabalhadores e aos riscos de discriminação algorítmica, exigindo que empresas e plataformas reequilibrem seus programas de compliance à luz dos direitos fundamentais.
Em junho de 2026, o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD) consolidou o relatório final do seu Grupo de Trabalho 1 (GT1), dedicado à proteção de dados pessoais no contexto laboral. O documento, resultado de 120 dias de trabalho que envolveu especialistas, sindicatos, confederações empresariais e organizações da sociedade civil, representa a análise mais abrangente já empreendida no Brasil sobre a interseção entre LGPD, integridade e relações de trabalho. As recomendações contidas no relatório sinalizam uma mudança significativa na forma como reguladores, gestores e tecnólogos devem compreender o monitoramento, a automatização de decisões e a proteção da privacidade no ambiente corporativo.
A relevância deste diagnóstico vai além do setor público e de grandes corporações. Fornecedores de soluções tecnológicas, consultores de RH, gestores de integridade e compliance, bem como todos aqueles que oferecem ou implementam programas de monitoramento de produtividade, encontram-se em uma encruzilhada: adaptar suas práticas aos parâmetros técnicos definidos pelo relatório ou enfrentar riscos significativos de não conformidade, danos reputacionais e exposição a litígios. O presente artigo examina os principais achados e proposições do relatório, traduzindo suas recomendações em implicações práticas para as organizações.
Monitoramento é legítimo, mas não é ilimitado
O relatório não veda o monitoramento de trabalhadores no contexto laboral. Reconhece que o poder diretivo do empregador, previsto no art. 2º da CLT, inclui a prerrogativa de fiscalizar, disciplinar e organizar a atividade. Contudo, estabelece que essa prerrogativa não é absoluta e deve ser exercida em conformidade com os direitos fundamentais, especialmente a privacidade, a dignidade e a autodeterminação informativa do trabalhador.
O fundamento legal dessa limitação reside nos princípios da Lei nº 13.709/2018 (LGPD), particularmente a finalidade, a necessidade e a proporcionalidade. O relatório consolida entendimento de que a simples identificação de uma hipótese legal não autoriza o tratamento de dados; os princípios funcionam como filtros prévios que delimitam e orientam a escolha da base jurídica. Na prática, significa que um empregador não pode justificar o monitoramento por meio de uma base legal genérica como “legítimo interesse” sem demonstrar, concretamente, por que a medida é necessária, por que é proporcional aos riscos, e se não há formas menos invasivas para alcançar a finalidade declarada.
O relatório aponta como práticas recorrentes e problemáticas: coleta de dados fora do horário de trabalho; monitoramento contínuo sem limites claros; geração de dados sobre locais privados (vestiários, banheiros); captura de tela, registro de teclas e análise de atividades sem justificativa robusta de finalidade; e uso secundário de dados sem consentimento prévio específico. Essas práticas representam não apenas violações técnicas da LGPD, mas também uma compreensão equivocada de que o poder diretivo autoriza vigilância total.
Tecnologias invasivas: biometria, geolocalização e “boss ware”
O relatório dedica análise minuciosa a tecnologias específicas de monitoramento, estabelecendo parâmetros distintos de conformidade para cada uma delas.
Dados biométricos (reconhecimento facial, impressão digital, íris, voz):
Por se tratar de dado pessoal sensível (art. 5º, II, LGPD) e de natureza imutável )não pode ser alterado em caso de incidente de segurança), o uso deve ser excepcional e restrito a situações de risco relevante e devidamente justificado. O cumprimento de obrigação legal relativa ao controle de jornada (art. 74, CLT) não impõe necessariamente o uso de biometria. Deve-se priorizar alternativas menos invasivas, como crachás, sistemas de autenticação por PIN ou verificação por celular. A experiência internacional, citada no relatório (diretrizes da CNIL francesa), indica que biometria deve ser exceção, não regra. Quando adotada, exige realização de Relatório de Impacto à Proteção de Dados (RIPD) conforme a Resolução ANPD nº 23/2025, e salvaguardas técnicas reforçadas.
Geolocalização:
Legítima para controle de jornada e verificação de presença em campo, mas deve ser ativada apenas durante o horário de trabalho, com desligamento automático ao final do expediente. A preferência é por registro por evento (check-in/check-out) ou amostragem, não por rastreamento contínuo 24/7. Geolocalização fora do expediente ou para inferir atividades pessoais (frequência a locais de lazer, consultas médicas, participação em manifestações) viola a privacidade e é vedada. O Tribunal Superior do Trabalho já validou a geolocalização como prova de jornada (decisão ROT-23218-21.2023.5.04.0000), desde que limitada ao local e horário de trabalho.
Softwares de monitoramento de produtividade (“boss ware”):
Ferramentas que capturam cliques, tempo de inatividade, janelas ativas, uso de aplicativos, webcam, áudio ambiente e até reconhecimento facial para análise de emoções são classificadas como altamente intrusivas. O relatório destaca que essas práticas geram impactos negativos comprovados: aumento de estresse, ansiedade, comprometimento da saúde mental. Apesar disso, o Tribunal Superior do Trabalho tem validado seu uso apenas quando há ciência prévia inequívoca do trabalhador e desde que não ultrapasse os limites de necessidade e proporcionalidade.
O relatório recomenda que o desenho dessas soluções siga o princípio de “privacy by default”, privilegiando o menor nível de coleta possível. Métricas devem focar em entregas e resultados, não em vigilância contínua do comportamento. Adicionalmente, identifica-se um risco estrutural: a maioria dos fornecedores dessas ferramentas são grandes empresas estrangeiras, gerando dependência tecnológica e risco de uso secundário dos dados dos trabalhadores pelos próprios fornecedores, sem transparência adequada.
Algoritmos opacos e o direito à revisão de decisões automatizadas
Uma das principais conclusões do relatório é a falha sistêmica na implementação do art. 20 da LGPD no contexto laboral. Este artigo assegura ao titular o direito de obter revisão de decisões automatizadas que afetem seus interesses legais. Na prática, contudo, a opacidade algorítmica prevalece: trabalhadores não sabem como algoritmos distribuem tarefas, calculam pontuações de desempenho, definem sua reputação ou até determinam sua suspensão ou bloqueio.
O relatório aponta que as empresas mantêm esses algoritmos sob sigilo empresarial, argumentando proteção de segredos comerciais. Contudo, o direito do trabalhador à compreensão mínima não é incompatível com a proteção de código-fonte. O que se exige é transparência significativa: quais dados são coletados e como alimentam o algoritmo; quais critérios e métricas são utilizados; como a pontuação é calculada e interpretada; quais decisões podem ser afetadas; se há revisão humana e quais são os canais de contestação.
A ausência de transparência compromete a capacidade do trabalhador de compreender e contestar decisões que afetam sua renda, permanência no vínculo e oportunidades de carreira. O relatório recomenda boas práticas incipientes já implementadas por algumas organizações: disponibilização de dashboards individuais com as métricas utilizadas; possibilidade de solicitar revisão humana; canais de reclamação acessíveis; manutenção de governança algorítmica com inventário de modelos, documentação de testes de viés e registro das decisões que impactam trabalhadores.
Riscos discriminatórios: quando algoritmos reproduzem e amplificam desigualdades
O relatório identifica um risco crítico negligenciado em muitos programas de compliance: sistemas automatizados podem gerar ou amplificar discriminações por raça, gênero, idade, condição de saúde, deficiência e outras características protegidas, mesmo quando critérios são aparentemente neutros. A discriminação algorítmica ocorre por múltiplos mecanismos.
- Vieses em dados históricos: Algoritmos treinados com dados de desempenho passado reproduzem padrões discriminatórios existentes (avaliações inferiores para mulheres em licença-maternidade, menor pontuação para trabalhadores negros em contextos de racismo estrutural).
- Métricas enviesadas: Indicadores como “tempo de inatividade”, “número de pausas” e “velocidade de digitação” penalizam desproporcionalmente pessoas com deficiências, condições crônicas, neurodivergências ou aquelas que realizam tarefas de maior complexidade.
- Penalizações indiretas: Sistemas que ranqueiam automaticamente podem direcionar menos tarefas ou tarefas de menor valor para perfis repetidamente mal avaliados, reduzindo renda e oportunidades.
- Falta de auditoria algorítmica: A maioria dos empregadores não realiza auditorias periódicas para identificar vieses, e a ausência de Relatório de Impacto agrava o risco.
O relatório cita exemplos concretos: softwares que medem tempo de atividade em tela penalizam trabalhadores com responsabilidades familiares; geolocalização usada para avaliar desempenho prejudica quem reside em áreas periféricas; algoritmos de recrutamento treinados com dados históricos excluem automaticamente mulheres, negros ou pessoas mais velhas; sistemas de reconhecimento facial têm precisão menor para determinados grupos demográficos, gerando bloqueios ou avaliações injustas. O caso do iFood, mencionado explicitamente, demonstra como tecnologias de validação de identidade baseadas em reconhecimento facial reproduzem racismo algorítmico.
A jurisprudência recente reconhece essas falhas: condenação de plataforma de recrutamento por dano moral coletivo no TRT da 15ª Região ilustra que uso de algoritmos com viés discriminatório viola a LGPD, a Constituição e a legislação trabalhista. Mitigação desses riscos exige mecanismos estruturados de governança algorítmica, incluindo testes de viés antes da implantação, auditorias periódicas dos resultados e revisão humana significativa antes de qualquer decisão relevante baseada em pontuação automatizada.
Implicações práticas para as organizações
Riscos típicos identificados pelo relatório:
- Coleta excessiva de dados — captura de informações além do necessário, alimentando sistemas de vigilância desproporcional e criando exposição a vazamentos e usos secundários.
- Falta de transparência sobre tecnologias e algoritmos — impossibilidade de o trabalhador compreender e contestar decisões, comprometendo autodeterminação informativa e favorecendo litígios trabalhistas.
- Ausência de testes de viés — algoritmos perpetuando discriminações, gerando danos morais coletivos e responsabilidade civil objetiva das organizações.
- Dependência de provedores estrangeiros — falta de controle sobre uso secundário de dados, vulnerabilidades de soberania digital e transferências internacionais sem salvaguardas adequadas.
- Conformidade formal sem substância — avisos de privacidade genéricos, canais de direitos fictícios, programas de compliance que não reduzem riscos reais.
Oportunidades de conformidade e diferenciação:
- Adoção de “privacy by design” em novas soluções de RH e monitoramento, priorizando arquiteturas que minimizam dados desde a concepção.
- Realização de Relatórios de Impacto à Proteção de Dados (RIPD) para sistemas de monitoramento, avaliação de desempenho e IA, documentando finalidade, necessidade, proporcionalidade e mitigação de riscos.
- Implementação de governança algorítmica robusta: inventário de modelos, documentação de critérios, testes de viés, auditoria periódica de resultados, registro de decisões automatizadas.
- Transparência significativa sobre tecnologias, mediante dashboards com métricas, explicações dos algoritmos em linguagem acessível, e canais de contestação efetivos.
- Renegociação de contratos com fornecedores de software, reduzindo dependência de provedores únicos e incluindo cláusulas sobre limitação de uso secundário e transferências internacionais.
- Diálogo social contínuo com representantes de trabalhadores, incorporando proteção de dados em negociações coletivas e comissões paritárias permanentes.
As recomendações do CNPD consolidam entendimento que já vinha se formando na jurisprudência trabalhista e nas orientações de autoridades internacionais de proteção de dados: monitoramento é legítimo, mas não é ilimitado; transparência algorítmica não é opcional; discriminação automatizada viola direitos fundamentais; e conformidade exige mais que documentos formais — requer mudança estrutural em como tecnologias são desenhadas, implementadas e auditadas. Empresas que antecipar essas mudanças reduzem riscos legais, ganham diferenciação competitiva e consolidam confiança com seus colaboradores e fornecedores.
Fontes:
CONSELHO NACIONAL DE PROTEÇÃO DE DADOS PESSOAIS E DA PRIVACIDADE. Proteção de Dados no Contexto Laboral: relatório final do GT1. Brasília: CNPD, 2026.
Read More