Acesso indevido a dados: quando o risco vem de dentro

O acesso indevido a dados ocorre também quando alguém usa uma conta válida para consultar informações sem justificativa de trabalho. Prevenir esse uso exige limitar permissões à tarefa e verificar o contexto das consultas, em linha com finalidade, necessidade e segurança na LGPD, artigos 6º e 46. Um alerta isolado não comprova a conduta: a apuração deve preservar evidências e evitar acusações precipitadas ou coleta excessiva.

O que o caso de Herefordshire realmente demonstra

Em notícia publicada em 21 de julho de 2026, o Information Commissioner’s Office, autoridade britânica de proteção de dados, relatou a condenação de um funcionário do conselho local de Herefordshire. Segundo a investigação descrita, ele acessou ilegalmente aproximadamente 490 registros e baixou 94 documentos em quatro dias. Os registros envolviam familiares e famílias conhecidas, incluindo crianças e adultos, e continham informações médicas, relatórios de assistência social e avaliações familiares.

O funcionário admitiu culpa por infração à seção 1 do Computer Misuse Act 1990. A sentença, proferida em 17 de julho, incluiu dois meses de prisão com execução suspensa por 12 meses e 120 horas de trabalho não remunerado. Trata-se de condenação baseada em legislação britânica, não de sanção da LGPD. Tampouco os números de registros e documentos permitem calcular quantas pessoas foram afetadas.

Para empresas brasileiras, o acesso indevido a dados nesse episódio oferece uma referência operacional: uma suspeita sobre determinada consulta levou à análise de outros registros. A notícia não descreve toda a arquitetura de segurança do conselho. Portanto, não cabe afirmar que determinada ferramenta teria evitado o caso ou atribuir falhas técnicas específicas não demonstradas pela fonte.

Como reconhecer acesso indevido a dados na rotina?

A autorização técnica responde se uma conta consegue abrir uma tela. A autorização funcional depende da tarefa, do vínculo com o atendimento e das regras aplicáveis. Uma equipe pode precisar consultar cadastros, mas isso não significa que qualquer integrante possa pesquisar vizinhos, colegas ou familiares por curiosidade. Ter uma base legal para a operação da empresa não legitima qualquer uso individual das informações.

No Brasil, os princípios de finalidade, necessidade, segurança e prevenção do artigo 6º da LGPD ajudam a avaliar esse limite. O artigo 46 exige medidas técnicas e administrativas aptas a proteger dados contra acessos não autorizados e tratamentos inadequados ou ilícitos. Traduzir essas obrigações em perfis, justificativas e revisões exige considerar os riscos de cada atividade.

Em exemplo hipotético, uma atendente abre o cadastro de um conhecido para resolver solicitação atribuída à sua equipe. O vínculo pessoal, isoladamente, não comprova acesso indevido a dados. Já consultar o mesmo cadastro sem demanda identificável merece triagem. A organização deve confrontar tarefa, registro de atendimento e explicação apresentada, preservando a possibilidade de erro operacional ou uso indevido da própria conta por terceiro.

Quais permissões ajudam a prevenir consultas indevidas?

Uma prevenção efetiva do acesso indevido a dados começa pelo menor privilégio: disponibilizar apenas o necessário à função, com exceções justificadas. Como recomendação operacional, o gestor da área deve validar a necessidade e a equipe técnica implementar o perfil. Quem solicita uma permissão ampliada não deveria aprovar sozinho a própria solicitação. A aprovação precisa indicar finalidade, escopo e condição de encerramento.

Separar visualização, alteração e exportação também importa. Um profissional pode precisar ler um prontuário ou cadastro sem precisar baixar uma base inteira. Para reduzir acesso indevido a dados, relatórios em massa e consultas especialmente sensíveis podem exigir aprovação adicional, limitação por equipe ou justificativa vinculada a um chamado. O desenho deve preservar o atendimento legítimo e prever exceções urgentes com revisão posterior.

A mudança de função é outro ponto vulnerável. Transferências, substituições temporárias e desligamentos precisam chegar a quem administra as contas. Esperar uma denúncia de acesso indevido a dados para revisar permissões deixa privilégios acumulados fora do radar. Uma rotina proporcional pode começar pelos sistemas mais sensíveis, confrontando usuários ativos, função atual, privilégios concedidos e confirmação do responsável pelo processo.

O fechamento de cada revisão deve registrar o que foi mantido, retirado ou ajustado. Listas assinadas sem teste prático oferecem evidência limitada: vale verificar se a conta realmente perdeu a capacidade de exportar ou consultar o conjunto restrito. A frequência das revisões deve ser definida por risco, mudanças na operação e criticidade, sem apresentar uma periodicidade única como exigência geral da LGPD.

Logs úteis sem vigilância irrestrita

Para investigar acesso indevido a dados, os registros precisam permitir reconstruir ações relevantes. Conforme o sistema, isso pode incluir identificação da conta, horário, recurso consultado, ação executada e referência do atendimento. Contas compartilhadas dificultam atribuir condutas; horários inconsistentes prejudicam a sequência dos fatos. Esses problemas merecem correção antes de comprar uma solução sofisticada de monitoramento.

Registrar tudo indefinidamente não resolve o problema. Logs também podem conter dados pessoais e revelar comportamentos de empregados e clientes. A prevenção do acesso indevido a dados deve incluir proteção desses registros, acesso restrito, prazo de retenção fundamentado e finalidade informada. Evite reproduzir o conteúdo integral de documentos quando identificadores e metadados forem suficientes para a análise.

Alertas devem funcionar como hipóteses de investigação. Um volume incomum pode resultar de substituição de colega ou demanda excepcional. Consultas fora do horário podem refletir plantão. Antes de elevar um alerta, confronte o contexto da operação e a qualidade da regra. Não se recomenda monitoramento indiscriminado de conversas pessoais, nem pesquisa de relações familiares de toda a equipe para alimentar detecções preventivas.

Matriz de triagem com responsáveis e evidências

A matriz abaixo organiza sinais de possível acesso indevido a dados. É uma recomendação de trabalho, não uma tabela legal de penalidades. Adapte responsáveis à estrutura da organização e mantenha os casos sob circulação restrita.

Nenhum evento da tabela prova sozinho uma infração. A utilidade está em definir quem age, qual evidência mínima busca e quando pede apoio. Se houver risco de continuidade, a contenção pode anteceder a conclusão sobre responsabilidade, com justificativa registrada e revisão da medida.

Apuração proporcional, da suspeita à conclusão

Ao receber suspeita de acesso indevido a dados, registre origem, horário de conhecimento, sistema e descrição objetiva. Separe o relato inicial dos fatos posteriormente confirmados. Defina um responsável pela coordenação e verifique conflitos de interesse. A equipe deve conseguir explicar por que examinou certo período, quais contas analisou e o que justificou ampliar o escopo.

Preserve os registros relevantes antes de mudanças que possam apagá-los, sem atrasar contenções urgentes. Guarde cópias com acesso controlado e documente quem coletou, quando e de onde vieram. No exame de acesso indevido a dados, evidência preservada não equivale a conclusão automática: uma conta identificada no log ainda demanda análise sobre credenciais compartilhadas, sessões abertas e possíveis comprometimentos.

Ouça a pessoa envolvida de maneira reservada e confronte a explicação com evidências verificáveis. Jurídico e RH devem orientar os cuidados trabalhistas e eventuais medidas disciplinares. Evite circular capturas de tela com dados de titulares em grupos de mensagens ou divulgar nomes antes da conclusão. A investigação não deve criar uma segunda exposição, nem converter uma ferramenta de segurança em mecanismo de constrangimento.

Como avaliar se um incidente precisa ser comunicado?

Avalie o risco ou dano relevante que o incidente pode acarretar aos titulares. Diante de acesso indevido a dados confirmado, identifique natureza das informações, pessoas potencialmente afetadas, extensão, duração e consequências plausíveis. Um alerta isolado ainda exige apuração. A falta de download não exclui exposição: a visualização pode revelar informação que deveria permanecer restrita. Por outro lado, números isolados não determinam toda a gravidade.

O artigo 48 da LGPD exige comunicação à autoridade e ao titular quando o incidente puder acarretar risco ou dano relevante. O controlador deve avaliar o caso conforme a regulamentação aplicável, inclusive requisitos e prazos, sem esperar necessariamente o encerramento disciplinar. Não se deve aplicar um prazo automático a qualquer linha de log. Registre a decisão, seus fundamentos, as incertezas e os responsáveis, inclusive quando a conclusão for pela ausência de obrigação de comunicar.

Perguntas frequentes

Quem sai da empresa continua obrigado a proteger os dados?

Sim. O artigo 47 da LGPD obriga os agentes de tratamento e qualquer pessoa que intervenha em uma fase do tratamento a garantir a segurança da informação relativa aos dados pessoais, mesmo após seu término. Como medida operacional no desligamento, oriente a pessoa sobre essa continuidade e confira a revogação de contas e sessões, sem presumir que um aviso substitua os controles.

A LGPD exige um software específico contra acesso indevido a dados?

Os artigos 6º e 46 da LGPD exigem prevenção e medidas de segurança aptas a proteger os dados, sem indicar um produto obrigatório. A escolha dos controles deve considerar o tratamento e os riscos, além das regras aplicáveis à operação. Revisar permissões existentes e testar restrições são medidas que a equipe pode avaliar antes de contratar outra ferramenta.

Treinamento e apoio para sustentar os controles

A prevenção do acesso indevido a dados precisa aparecer em situações concretas de treinamento: pedido informal de colega, busca por conhecido e exportação para terminar trabalho fora do sistema. O treinamento de LGPD para funcionários pode apoiar essa tradução das políticas em escolhas cotidianas. Explique também como pedir acesso excepcional, relatar erro e questionar uma ordem incompatível com as regras.

Uma rota segura de relato complementa os controles técnicos. Ao estruturar o canal de denúncias e sua relação com a LGPD, delimite destinatários, proteção do relato e tratamento de conflitos de interesse. Não prometa anonimato absoluto quando a arquitetura ou as circunstâncias não o asseguram. Teste o encaminhamento de uma denúncia hipotética para verificar se alguém recebe, registra e acompanha a resposta.

A TOGETHER pode apoiar a revisão desse fluxo por meio de consultoria em LGPD, conectando mapeamento de atividades, critérios de permissão, políticas e treinamento. Na modalidade DPO as a Service, o apoio contínuo pode organizar orientações, interlocução com áreas responsáveis e documentação das decisões sobre acesso indevido a dados. A implementação técnica e as decisões do controlador continuam com seus responsáveis; o serviço não elimina riscos nem garante conformidade.

Comece por um sistema prioritário: identifique seu dono, teste as permissões de uma função e simule a triagem de uma consulta suspeita. Leve as lacunas encontradas para uma conversa com a TOGETHER sobre responsáveis, evidências e próximos ajustes. Este conteúdo é informativo e não substitui a avaliação jurídica das circunstâncias de cada caso.

Referências

• ICO: notícia sobre a condenação do funcionário de Herefordshire, publicada em 21 de julho de 2026.
• Lei Geral de Proteção de Dados Pessoais: artigos 6º, 46 e 48.