Ex-funcionário ainda acessa seus dados? O acesso que ninguém desligou

Numa segunda-feira de manhã, a dona de uma distribuidora recebe uma ligação de um cliente: "Vocês mandaram minha lista de preços para o concorrente?". Ela jura que não. Mas, ao investigar, descobre que o antigo vendedor, desligado havia quatro meses, ainda tinha o login do sistema, a senha da planilha de clientes e acesso ao grupo de WhatsApp da equipe. Ninguém fez nada de errado de propósito. Simplesmente, ninguém lembrou de desligar os acessos.

Esse cenário é muito mais comum do que parece em pequenas e médias empresas. Quando um colaborador sai, o RH cuida do acerto, o gestor cuida da passagem de tarefas, e o acesso aos dados fica no limbo: não é responsabilidade clara de ninguém. Neste guia, você vai entender onde esses acessos se escondem, o que a LGPD diz sobre o assunto, como fazer um autoteste rápido e como montar um plano de ação sem parar a operação.

Por que o acesso de ex-funcionário é um risco silencioso

Dados de clientes, preços, contratos, margens e histórico de negociações são ativos da empresa. Quando uma pessoa deixa o time, a empresa continua responsável por eles. Se o acesso permanece aberto, qualquer coisa que aconteça com aquelas informações passa a ser problema seu, mesmo que o ex-colaborador nunca tenha feito nada de mau.

O risco não depende de má-fé. Um ex-funcionário pode ter a senha anotada no celular, o notebook pessoal ainda logado, ou uma cópia da planilha no e-mail particular. Se esse aparelho for perdido, invadido ou compartilhado, os dados da sua empresa vão junto.

Em empresas que trabalham com planilhas e processos manuais, o problema é ainda maior, porque não existe um lugar único onde se possa "desligar" uma pessoa. O acesso está espalhado em arquivos, grupos e contas que ninguém mapeou.

Onde os acessos esquecidos costumam se esconder

Quando perguntamos "quais acessos essa pessoa tinha?", a maioria das empresas lembra de dois ou três. Na prática, a lista costuma ser bem maior. Veja os lugares mais comuns:

• Planilhas compartilhadas: arquivos no Google Drive, OneDrive ou Excel online compartilhados por link ou pelo e-mail pessoal do colaborador.
• Sistemas e painéis: ERP, CRM, sistema de emissão de nota, painel da loja virtual e ferramentas de marketing.
• Contas "de todo mundo": logins genéricos, como "vendas@" ou "financeiro@", cuja senha circula há anos entre várias pessoas.
• WhatsApp e grupos: grupos de clientes, de fornecedores e de equipe, além do WhatsApp Web aberto em computadores.
• E-mail corporativo: caixa de entrada com histórico de negociações, orçamentos e documentos.
• Acesso remoto e VPN: conexões que funcionavam de casa e nunca foram revogadas.
• Dispositivos: notebooks, celulares e pendrives que saíram com o colaborador, com arquivos baixados.
• Redes sociais e ferramentas externas: perfil da empresa no Instagram, conta de anúncios, domínio e hospedagem.

Repare que quase tudo nessa lista é "invisível" para quem gerencia: só aparece quando alguém para para procurar. É por isso que o primeiro passo é sempre mapear, e não trocar senhas às pressas.

Sinais de que sua empresa tem esse problema

Alguns sintomas indicam que o controle de acessos está frouxo:

• Existe uma senha compartilhada por várias pessoas, e ninguém sabe dizer quem a conhece hoje.
• Quando alguém é desligado, não há uma lista fixa do que precisa ser revogado.
• Os dados de clientes ficam em planilhas que qualquer pessoa pode copiar, baixar ou encaminhar.
• Ninguém consegue responder rapidamente quem acessou determinado dado, e quando.
• O sistema não separa o que cada função pode ver: o estagiário enxerga o mesmo que o diretor.

Se você reconheceu dois ou mais desses pontos, vale continuar a leitura. Isso tem a ver com um problema mais amplo, que já tratamos em outro texto: o risco da planilha compartilhada em relação à LGPD.

O que diz a LGPD sobre segurança e acessos

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) não fala especificamente de "ex-funcionário", mas estabelece deveres claros sobre proteger dados pessoais. Os principais pontos para este assunto são estes:

• Art. 6º, inciso VII (princípio da segurança): exige a utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados.
• Art. 6º, inciso VIII (princípio da prevenção): pede a adoção de medidas para prevenir danos decorrentes do tratamento de dados.
• Art. 46: determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas.
• Art. 48: prevê que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
• Art. 42: quem causa dano a outra pessoa por tratar dados em desacordo com a lei é obrigado a repará-lo.
• Art. 52: prevê sanções administrativas, que vão de advertência a multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração.

Na prática, manter aberto o acesso de quem já saiu é um caso típico de "acesso não autorizado" esperando para acontecer. Se houver vazamento, a pergunta que a ANPD e a Justiça fazem é: "que medidas a empresa tinha adotado antes?". Uma rotina simples de desligamento de acessos, documentada, é justamente esse tipo de medida.

A própria ANPD orienta que o incidente de segurança com dados pessoais seja avaliado internamente, que a avaliação e as medidas adotadas sejam registradas e que, havendo risco ou dano relevante, o controlador comunique a autoridade e os titulares.

Autoteste: seus acessos estão sob controle?

Responda "sim" ou "não" para cada pergunta, pensando na realidade de hoje, e não no que deveria ser:

1. Existe uma lista atualizada de todos os sistemas, planilhas e contas que cada colaborador acessa?
2. Quando alguém sai da empresa, uma pessoa específica é responsável por revogar os acessos no mesmo dia?
3. Você sabe dizer quantas pessoas conhecem a senha das contas compartilhadas (como "vendas@" ou "financeiro@")?
4. Os arquivos com dados de clientes ficam em um local controlado, com permissões diferentes para cada função?
5. É possível saber quem abriu, editou ou baixou determinado arquivo ou cadastro?
6. Os dispositivos da empresa (notebook, celular) são devolvidos e limpos quando o colaborador sai?
7. Nos últimos 12 meses, você revisou quem ainda tem acesso a quê?

Como ler o resultado: 6 ou 7 respostas "sim" indicam um controle saudável; mantenha a revisão periódica. Entre 3 e 5 "sim", há lacunas relevantes, e o plano de ação abaixo deve entrar na agenda deste mês. Com 2 ou menos, a empresa depende de sorte para não ter um incidente: trate o assunto como prioridade.

Plano de ação em etapas, sem parar a operação

Você não precisa fechar a empresa por um dia para arrumar isso. Faça por etapas curtas:

Etapa 1: faça o inventário (1 a 2 dias)

Liste, em uma única tabela, cada sistema, planilha, conta compartilhada e grupo que guarda dados da empresa. Ao lado, anote quem tem acesso hoje. Comece pelos dados mais sensíveis: clientes, financeiro e contratos.

Etapa 2: remova o que sobrou (1 dia)

Compare a lista de acessos com a lista de colaboradores ativos. Tudo que pertence a quem saiu deve ser revogado. Em contas compartilhadas, troque a senha e registre quem recebeu a nova.

Etapa 3: crie um checklist de desligamento (1 dia)

Transforme o inventário em um roteiro: "quando alguém sair, revogue estes itens, nesta ordem, e marque a data". Defina uma pessoa responsável e inclua o checklist no processo de desligamento do RH.

Etapa 4: dê a cada pessoa o acesso que ela precisa

Aplique o princípio do menor privilégio: cada função enxerga apenas o necessário para trabalhar. Isso reduz o estrago se uma conta for comprometida, seja de um ex-funcionário ou de um atual.

Etapa 5: tire os dados das planilhas soltas

Enquanto os dados ficam em arquivos que podem ser copiados e encaminhados, é impossível controlar acesso de verdade. Migrar para um banco de dados com login individual, permissões por função e registro de quem fez o quê resolve a raiz do problema. Se esse for seu caso, veja como migrar da planilha para um banco de dados sem parar de vender.

Etapa 6: revise periodicamente

Marque na agenda uma revisão de acessos a cada três ou seis meses. Dez minutos comparando a lista de acessos com a de colaboradores já evitam a maior parte dos problemas.

O que muda quando os dados ficam em um banco de dados

Perguntas frequentes

Preciso bloquear o acesso no mesmo dia em que o colaborador sai?

O ideal é que sim. O acesso deve ser revogado no momento do desligamento, ou antes, quando a saída for conflituosa. Quanto maior o intervalo, maior a janela de risco.

Se o ex-funcionário nunca usou o acesso, ainda assim é problema?

É risco, mesmo sem uso. O acesso aberto é uma porta destrancada: a empresa não consegue demonstrar que adotou medidas de segurança adequadas, e a conta pode ser usada por terceiros se a senha vazar.

A LGPD vale para empresa pequena?

Sim. A lei se aplica a qualquer organização que trate dados pessoais, independentemente do tamanho. Existem regras diferenciadas para agentes de pequeno porte, mas o dever de proteger os dados continua.

Trocar as senhas resolve?

Ajuda, mas não resolve sozinho. Sem inventário, você troca a senha do que lembrou e esquece o resto. Além disso, cópias de arquivos já baixados continuam com a pessoa. Por isso o plano combina inventário, revogação, permissões e revisão.

Como a Sysdeso pode ajudar?

A Sysdeso mapeia onde seus dados vivem hoje, propõe o caminho mais simples para controlá-los e, quando faz sentido, constrói o sistema web ou o banco de dados com acessos por usuário e registro de ações.

Quer saber onde estão os acessos esquecidos da sua empresa?

A Sysdeso faz um diagnóstico gratuito: olhamos como seus dados são guardados e acessados hoje e mostramos, de forma objetiva, o que corrigir primeiro. Fale com a gente pelo WhatsApp: https://wa.me/5535984694808.

Fontes

• Lei nº 13.709/2018 (LGPD), texto oficial no Planalto: arts. 6º, 42, 46, 47, 48 e 52.
• ANPD: Incidentes de segurança com dados pessoais

Aviso: este conteúdo é informativo e não substitui a orientação de um advogado ou de um encarregado de proteção de dados. Cada caso deve ser avaliado individualmente.