Arquivos físicos e LGPD: controles além do sistema

Arquivos físicos e LGPD precisam estar na mesma agenda de governança. Contratos, prontuários, fichas de empregados, formulários cadastrais e cópias de documentos continuam contendo dados pessoais quando saem do sistema e vão para uma pasta ou caixa. Uma decisão recente da autoridade irlandesa mostra o custo operacional de perder a localização, o prazo e o controle sobre esse acervo.

Em 2 de setembro de 2026, a Data Protection Commission da Irlanda, DPC, divulgou a decisão final sobre o Health Service Executive, o serviço público de saúde do país. Segundo a autoridade, a decisão foi notificada ao HSE em 25 de agosto. O registro do European Data Protection Board, EDPB, indica 28 de agosto de 2026 como data da decisão final. Como os registros oficiais não apresentam uma cronologia idêntica e a decisão integral ainda seria publicada, os marcos seguros para este artigo são a notificação em 25 de agosto e a divulgação em 2 de setembro. O resultado incluiu multa total de 645 mil euros, reprimenda e ordens corretivas.

O caso ocorreu na Irlanda e aplica o GDPR ao HSE. Ele não cria uma obrigação automática para organizações brasileiras, nem autoriza uma equivalência simples entre GDPR e LGPD. Ainda assim, oferece uma referência concreta para um problema familiar no Brasil: documentos em papel também exigem finalidade, segurança, retenção, localização, disponibilidade e resposta a incidentes. A utilidade do caso está nas perguntas que ele leva para a operação, não na importação de uma sanção estrangeira.

O que aconteceu nos depósitos do HSE

A investigação começou em 24 de maio de 2024 após duas violações de dados pessoais notificadas à DPC, uma em outubro e outra em novembro de 2023. Pessoas entraram sem autorização em instalações externas usadas para manter prontuários em papel. Os locais eram antigos hospitais psiquiátricos desativados, um contaminado com amianto e o outro com mofo severo. Vídeos publicados em redes sociais pelos invasores mostraram que havia registros médicos nas instalações.

Em abril de 2024, o HSE informou à autoridade que soube, também por rede social, de outro acesso não autorizado ao porão de um dos locais. A investigação incluiu 12 inspeções em diferentes pontos do país para verificar se os episódios eram isolados ou indicavam uma falha sistêmica na guarda e retenção de documentos.

O relato da DPC é direto. Os inspetores encontraram documentos danificados ou destruídos por mofo, contaminados por dejetos de animais, cobertos por entulho, apodrecidos ou afetados por água. Havia registros em banheiros desativados, cubículos, edifícios deteriorados e até em um contêiner instalado dentro de um galpão. Em algumas áreas, a desordem impedia considerar os documentos organizados ou acessíveis.

A decisão não tratou apenas de invasão. A DPC apontou falhas de integridade e confidencialidade, medidas de segurança inadequadas, ausência de processos e controles apropriados de gestão documental e retenção além do necessário. Também concluiu que houve falhas na notificação de violações à autoridade dentro das 72 horas previstas pelo GDPR e na comunicação aos titulares afetados.

As multas foram distribuídas pela autoridade em quatro blocos: 300 mil euros por falhas de integridade, confidencialidade e segurança; 300 mil euros pela violação da limitação da conservação; 30 mil euros pelas falhas de notificação à DPC; e 15 mil euros pela falta de comunicação aos titulares. A DPC ainda considerou como agravante a existência de infrações anteriores semelhantes relacionadas à segurança e à perda de controle sobre prontuários em papel.

Arquivos físicos e LGPD começam por um inventário real

A primeira lição não é comprar armários. É saber o que existe. Como controle recomendado, proporcional ao risco e às normas setoriais aplicáveis, um inventário de arquivos em papel pode identificar tipos documentais, finalidades, titulares envolvidos, dados presentes, área responsável, local exato, formato de indexação, prazo de retenção, fundamento para a guarda, nível de acesso e destinação prevista. “Arquivo morto” não é uma categoria suficiente para administrar risco.

Na prática, a relação entre arquivos físicos e LGPD exige que esse levantamento chegue aos lugares menos visíveis. Além do arquivo central, podem existir caixas em filiais, salas de RH, consultórios, almoxarifados, mesas, gavetas, empresas terceirizadas e imóveis antigos. Migrações, aquisições, mudança de sede e encerramento de unidades costumam deixar lotes sem dono claro. Uma planilha enviada por e-mail às áreas raramente encontra tudo. Entrevistas, vistoria física, amostragem e confronto com contratos de guarda são controles recomendados para ampliar a cobertura.

Integrar arquivos físicos e LGPD à rotina também pede granularidade. Uma caixa com prontuários tem exigências diferentes de notas fiscais, fichas de visitantes ou currículos não aproveitados. Como boa prática, o rótulo pode permitir localizar o conjunto sem expor dados no lado externo, e a organização pode registrar quem é o custodiante do lote e quem decide sobre consulta, transferência, digitalização ou eliminação.

A governança de arquivos físicos e LGPD também deve integrar o acervo em papel ao registro das operações de tratamento. O plano de adequação à LGPD não deve descrever apenas bancos de dados e fornecedores de tecnologia. Quando o processo nasce no papel, passa por digitalização e termina em uma empresa de guarda, cada etapa faz parte do fluxo e precisa de controles coerentes.

Segurança física também protege confidencialidade e disponibilidade

Porta trancada é apenas o começo. É nesse ponto que arquivos físicos e LGPD se encontram na rotina: o local deve ser adequado ao tipo e ao volume dos documentos, com controle de entrada, registro de acessos, proteção contra água, incêndio, pragas e deterioração, além de condições que permitam localizar um item quando necessário. Iluminação, organização, endereçamento de estantes e inspeções periódicas têm efeito direto sobre a disponibilidade e a integridade da informação.

Ao tratar de arquivos físicos e LGPD, a empresa deve definir perfis de acesso. Nem toda pessoa que trabalha no prédio precisa entrar no arquivo. Facilities pode cuidar da estrutura sem consultar conteúdo. Uma empresa de limpeza pode precisar entrar acompanhada, sem abrir caixas. RH, jurídico ou equipe clínica podem consultar conjuntos específicos mediante registro. Chaves e cartões precisam de responsáveis, cópias controladas e devolução imediata em desligamentos ou trocas de função.

Em arquivos físicos e LGPD, o registro de movimentação reduz o sumiço silencioso. Retirada, consulta, empréstimo, digitalização, devolução e envio para descarte devem deixar evidência mínima: documento ou caixa, solicitante, autorização, data, finalidade e destino. Para acervos sensíveis ou volumosos, códigos de barras e sistemas de gestão documental podem ajudar. Tecnologia, porém, não compensa caixas mal identificadas nem uma sala sem responsável.

Arquivos físicos e LGPD exigem olhar para terceiros. O contrato com a empresa de guarda deve tratar de instalações, pessoal autorizado, subcontratação, rastreabilidade, transporte, incidentes, auditoria, devolução, eliminação segura e evidências. Também convém verificar se a prática corresponde ao contrato. Visitas, relatórios, testes de localização e amostras de certificados revelam problemas que uma cláusula genérica não mostra.

Retenção precisa terminar em uma ação

Uma política que conecte arquivos físicos e LGPD precisa transformar a tabela de temporalidade em eventos da rotina. Cada categoria documental deve ter prazo ou critério de revisão associado à finalidade e às obrigações aplicáveis. A contagem precisa de um marco claro, como encerramento do contrato, último atendimento, desligamento ou conclusão de uma demanda. Quando houver prazos concorrentes, a justificativa deve ser documentada.

A LGPD, em seu texto oficial, prevê princípios como necessidade, segurança, prevenção e responsabilização, além de regras sobre término do tratamento e conservação em hipóteses previstas em lei. A aplicação depende do contexto, da finalidade, do papel da organização e de normas setoriais. Por isso, a empresa não deve copiar o prazo de outro negócio nem presumir que todo documento precisa ser eliminado imediatamente.

O problema oposto é manter tudo “por segurança”. Acúmulo sem finalidade aumenta área ocupada, custo de guarda, tempo de busca e impacto de acesso indevido. Também torna o descarte futuro mais difícil, pois lotes misturados exigem nova classificação. Em arquivos físicos e LGPD, retenção defensável é aquela que conecta categoria, razão, prazo, responsável e ação final.

Na rotina de arquivos físicos e LGPD, a eliminação deve ser segura e comprovável. Documentos com dados pessoais não devem ir inteiros para lixo comum ou caçamba. A organização pode usar fragmentação adequada ao conteúdo e ao risco, com cadeia de custódia até a destruição. Quando contratar um terceiro, deve definir como os lotes são lacrados, transportados, destruídos e certificados. Uma foto genérica de papel triturado não comprova qual lote foi eliminado.

Também é necessário prever bloqueios de descarte. Litígios, fiscalizações e investigações podem justificar a preservação temporária de determinados documentos, quando aplicável. Um pedido de titular só deve levar à preservação na medida necessária para atendê-lo ou documentá-lo, cumprir obrigação legal ou regulatória ou resguardar o exercício regular de direitos, sempre com escopo e prazo definidos. O bloqueio precisa ser delimitado, comunicado ao custodiante e revisto. Sem esse controle, a empresa corre dois riscos: destruir o que precisava conservar ou guardar todo o acervo indefinidamente.

Arquivos físicos e LGPD no plano de incidentes

Um incidente em papel pode surgir como furto de caixa, entrada não autorizada, documento enviado ao destinatário errado, prontuário esquecido em área comum, descarte inadequado, dano por água ou impossibilidade de localizar informações necessárias. Nem todo caso terá a mesma consequência. O plano deve permitir avaliar rapidamente quais dados estavam envolvidos, quantas pessoas podem ter sido afetadas, quem teve acesso e quais danos são plausíveis.

A decisão irlandesa menciona a regra de 72 horas do GDPR e falhas de comunicação aos titulares naquele contexto. No Brasil, a Resolução CD/ANPD nº 15/2024 prevê que o controlador comunique à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante, em regra em três dias úteis a partir do conhecimento do incidente, ressalvado prazo específico em outra legislação. Quando todas as informações não estiverem disponíveis, a comunicação pode ser feita de forma preliminar e complementada de maneira fundamentada. Os critérios, prazos e procedimentos brasileiros não devem ser substituídos automaticamente pela regra europeia. A comparação útil é outra: sem inventário, rastreabilidade e canal interno, a empresa talvez nem consiga perceber o incidente a tempo de avaliá-lo.

Em arquivos físicos e LGPD, quem encontra uma porta arrombada, uma caixa aberta ou papéis molhados precisa saber para quem ligar e o que preservar. A orientação inicial deve evitar rearrumar o local antes do registro, descartar material danificado sem autorização ou divulgar imagens com dados visíveis. Facilities, segurança patrimonial, área dona do documento, privacidade, segurança da informação e jurídico podem precisar atuar em conjunto, conforme o evento.

Arquivos físicos e LGPD devem aparecer nos exercícios de resposta a incidentes. Um teste simples pode pedir à equipe que localize uma caixa específica, identifique as pessoas potencialmente afetadas, recupere o histórico de acesso e acione o fornecedor. Se essas tarefas levam dias ou dependem de alguém que “conhece o depósito”, há um problema de governança antes mesmo de ocorrer uma violação.

Um roteiro de diagnóstico para as próximas semanas

Para revisar arquivos físicos e LGPD, a empresa pode começar com uma amostra representativa, sem esperar um projeto perfeito. Escolha unidades com alto volume, dados sensíveis, documentos antigos ou guarda terceirizada. Registre as condições observadas, defina responsáveis e estabeleça prazos de correção. Depois, amplie o diagnóstico com critérios consistentes.

Um roteiro prático inclui:

listar locais internos e externos que possam conter documentos com dados pessoais;
nomear um responsável de negócio e um custodiante para cada acervo;
classificar categorias documentais, finalidades, sensibilidade e titulares envolvidos;
conferir regras de retenção e identificar lotes sem justificativa ou prazo;
testar acesso físico, localização, retirada, devolução e resposta a uma solicitação;
avaliar conservação, risco ambiental, transporte e descarte;
revisar contratos e evidências dos prestadores de guarda e destruição;
incluir cenários com papel no plano de resposta a incidentes;
priorizar correções por risco, dependência e esforço;
repetir inspeções e testes em calendário definido.

O diagnóstico deve produzir decisões, não apenas fotografias. Uma sala inadequada pode exigir transferência emergencial. Uma caixa sem índice pode precisar de classificação antes da revisão de prazo. Um lote vencido pode depender de validação jurídica e destruição controlada. Arquivos físicos e LGPD ganham maturidade quando cada achado tem responsável, prazo, evidência de conclusão e revisão posterior.

Como a TOGETHER pode apoiar

A TOGETHER pode conduzir uma consultoria em LGPD voltada ao ciclo de vida documental, com inventário de acervos, visitas amostrais, matriz de retenção, revisão de contratos, desenho de cadeia de custódia, critérios de descarte e integração do papel ao plano de incidentes. O trabalho conecta jurídico, DPO, RH, saúde, facilities e fornecedores, sem tratar o arquivo como assunto isolado do negócio.

No modelo de DPO as a Service, a TOGETHER pode acompanhar decisões recorrentes sobre novos documentos, exceções de retenção, solicitações de titulares, auditorias de prestadores, incidentes e evidências. Esse acompanhamento ajuda a evitar que o diagnóstico envelheça enquanto caixas mudam de local, contratos vencem e novas unidades passam a produzir papel.

Se a sua organização precisa transformar o acervo em papel em um plano verificável, fale com a TOGETHER para solicitar um diagnóstico de gestão documental e privacidade.

O caso do HSE não deve ser apresentado como previsão de multa no Brasil. Sua contribuição é mais prática: mostra o que pode acontecer quando segurança, conservação, localização e prazo deixam de ter responsáveis claros. Arquivos físicos e LGPD precisam de governança contínua, porque dados pessoais não perdem valor nem risco quando a tela é desligada.