Classificação da informação: proteja cada dado pelo seu risco

Uma planilha de salários chega ao grupo errado porque estava na mesma pasta dos comunicados gerais. A classificação da informação ajuda a evitar essa confusão: cada categoria indica quem pode acessar, enviar e guardar o conteúdo. Para funcionar, o rótulo precisa vir acompanhado de regras que a equipe consiga aplicar. Neste artigo, você verá como definir essas regras e começar por um processo da sua empresa.

O que é classificação da informação?

Classificar é organizar informações conforme o cuidado que exigem, considerando o impacto de divulgação, alteração ou perda. No exemplo da planilha, o problema começa quando documentos com riscos diferentes recebem o mesmo acesso. A categoria escolhida orienta a proteção, enquanto as configurações do sistema fazem a regra valer. Escrever “confidencial” no nome do arquivo, sozinho, não impede ninguém de abri-lo.

A Cartilha de Segurança da Informação do STJ relaciona a classificação à importância da informação e às pessoas que podem acessá-la. É uma referência educativa, não uma regra obrigatória de categorias para empresas. A aplicação empresarial deve considerar os documentos, os contratos e os riscos da própria organização. Assim, a conversa começa pelo uso real dos arquivos, antes da escolha dos nomes.

Como escolher categorias que façam sentido para a empresa

Depois de identificar os riscos, escolha poucas categorias, com diferenças fáceis de explicar. A classificação da informação precisa ajudar alguém a decidir o que fazer antes de compartilhar um documento. Uma proposta inicial é trabalhar com informação pública, interna e confidencial. A empresa pode ajustar esse modelo quando houver necessidades distintas de proteção.

Categoria proposta	Exemplo empresarial	Regra de circulação
Pública	Catálogo aprovado para divulgação	Compartilhamento externo autorizado
Interna	Orientação geral de uso das salas	Circulação no ambiente de trabalho definido
Confidencial	Planilha individual de salários	Acesso apenas a pessoas autorizadas para a tarefa

Para escolher a categoria, pergunte quem precisa do conteúdo e qual seria o dano de uma divulgação indevida. Depois, avalie o que acontece se alguém alterar ou apagar o arquivo. Um catálogo público pode circular livremente, mas sua edição deve ficar nas mãos da equipe responsável. Sigilo, proteção contra mudanças indevidas e disponibilidade para uso são necessidades diferentes.

No caso da planilha, o gestor pode precisar apenas do total gasto pelo departamento. Entregar uma versão resumida evita abrir todos os salários individuais. Antes de liberar o documento completo, vale perguntar se uma informação menor resolve a tarefa. Essa decisão também ajuda a separar o risco empresarial das categorias previstas na lei.

Informação confidencial é sempre dado pessoal sensível?

Não. “Confidencial” é um rótulo de proteção empresarial; “dado pessoal sensível” tem definição específica na LGPD. O artigo 5º da lei inclui, por exemplo, informações de saúde, origem racial e filiação sindical. O salário individual é dado pessoal, mas não se torna sensível pela lei apenas por revelar renda.

Uma estratégia comercial também pode ser confidencial sem conter dados de pessoas. Já uma planilha com afastamentos e diagnósticos reúne informações de saúde e exige atenção a essa natureza. A classificação da informação deve considerar o conteúdo e o contexto, sem usar “sensível” como sinônimo de qualquer segredo. Isso evita que a equipe escolha cuidados olhando apenas o título do documento.

O artigo 46 da LGPD exige medidas técnicas e administrativas contra acessos não autorizados, perda, alteração e outros usos inadequados de dados pessoais. As categorias internas ajudam a organizar essas medidas, mas não substituem a análise do uso permitido dos dados. Aqui, o objetivo é organizar a circulação de documentos na empresa.

Quem define e quem aplica os rótulos?

Com as categorias claras, indique um responsável pelo conteúdo de cada processo. Na folha de pagamento, essa pessoa deve conhecer a finalidade da planilha e quem precisa utilizá-la. TI e segurança traduzem a decisão em permissões de acesso e locais de armazenamento. O responsável por proteção de dados apoia as escolhas que envolvem informações pessoais.

A política de classificação da informação deve registrar quem pode mudar um rótulo e como resolver dúvidas. Quem cria o documento aplica a categoria prevista; quem responde pelo processo decide situações fora do padrão. Na ausência de orientação, a equipe deve consultar esse responsável antes de ampliar a circulação. Esse caminho precisa estar acessível a quem trabalha com os arquivos diariamente.

Inclua também quem substitui o responsável nas férias ou no desligamento. Caso contrário, uma dúvida simples pode parar uma entrega ou levar alguém a liberar acesso por conta própria. Registre a decisão no próprio procedimento do processo. Com os papéis definidos, o próximo passo é descrever como cada categoria será usada.

Como transformar classificação da informação em regras práticas

Cada categoria precisa indicar o acesso permitido, o canal de envio e o local de guarda. Para a planilha de salários, uma regra possível é limitar a pasta ao grupo que executa a folha. O envio à contabilidade deve usar um canal empresarial aprovado e um destinatário identificado. Abaixo estão decisões para adaptar à rotina, com apoio das áreas responsáveis.

Acesso: permita apenas o necessário para a tarefa

Separe quem pode consultar de quem pode editar ou compartilhar. Uma pessoa pode precisar conferir o pagamento sem ter autorização para alterar valores. Use contas individuais e retire permissões quando houver mudança de função. Assim, o acesso acompanha o trabalho atual, em vez de acumular autorizações antigas.

Confira também os acessos indiretos. Uma pasta confidencial pode estar dentro de outra compartilhada com toda a empresa. Faça um teste com uma conta sem autorização e confirme que ela não consegue abrir o arquivo. A verificação revela se a configuração corresponde ao rótulo escolhido.

Envio: defina canal, destinatário e conteúdo

Antes de enviar, confira se o destinatário precisa de todas as informações. Prefira um link com acesso limitado quando o sistema permitir esse controle. Evite links abertos para qualquer pessoa e anexos enviados a listas amplas. Se houver prazo de acesso, registre quem deve encerrá-lo ao terminar o trabalho.

No envio à contabilidade, combine as regras de uso com o fornecedor. Defina onde ele receberá o arquivo, quem poderá abri-lo e o destino das cópias ao fim do serviço. Considere as obrigações de guarda antes de determinar exclusões. A classificação da informação precisa continuar útil depois que o documento sai da empresa.

Armazenamento: escolha um local que sustente a regra

Mantenha os arquivos em ambientes aprovados, com permissões compatíveis com a categoria. Para informações confidenciais, avalie criptografia, que torna o conteúdo ilegível sem a chave correta. Organize também cópias de segurança e confira se é possível recuperá-las. A proteção deve alcançar essas cópias e os arquivos exportados do sistema.

Documentos impressos exigem decisões equivalentes. Defina onde guardar, quem pode retirar e como descartar o papel de forma segura. A mesma planilha perde proteção se sair da pasta controlada e ficar esquecida na impressora. Por isso, o procedimento deve acompanhar o documento até o encerramento de seu uso.

Como começar e corrigir erros sem travar o trabalho

Depois de definir as regras, teste a classificação da informação em um processo conhecido, como a folha de pagamento. Separe alguns documentos e peça à equipe que escolha a categoria e explique como os enviaria. As dúvidas mostram onde os critérios estão vagos. Ajuste o procedimento antes de ampliar o uso para outras áreas.

Registre, para cada conjunto de arquivos, a categoria, o responsável, o público autorizado e o próximo momento de revisão. Uma mudança de sistema ou de fornecedor já justifica conferir essas decisões. O mesmo vale quando uma planilha passa a incluir novos campos. Um arquivo antes interno pode exigir proteção maior após receber dados de saúde.

Evite classificar tudo como confidencial: isso dificulta distinguir os documentos que exigem mais cuidado. Também não reduza a categoria apenas para concluir um envio urgente. Crie um caminho de exceção com justificativa, responsável e prazo para encerrar o acesso adicional. Se houver envio errado, acione o fluxo de resposta da empresa, além de corrigir o rótulo.

Como a TOGETHER pode apoiar essa organização

Para manter os critérios ligados à realidade, a metodologia da TOGETHER começa pelo data mapping, o mapeamento de como os dados circulam. Ele mostra onde a empresa coleta, guarda e compartilha informações. A classificação da informação usa esse conhecimento para definir os cuidados de cada conjunto. São atividades complementares: conhecer o fluxo ajuda a escolher a proteção.

A consultoria em LGPD da TOGETHER pode apoiar a definição de prioridades e regras com as áreas de negócio. O DPO as a Service, serviço de apoio contínuo à função de responsável por proteção de dados, ajuda nas decisões recorrentes. Isso inclui dúvidas sobre acesso, compartilhamento e mudanças nos processos. O objetivo é que a equipe saiba o que fazer diante de um documento concreto.

Conclusão

A planilha de salários precisa chegar às pessoas certas, por um canal definido e com acesso compatível com o trabalho. A classificação da informação organiza essas decisões quando cada categoria traz uma orientação clara. Comece por um processo, indique o responsável e teste se as permissões funcionam como previsto. Converse com a TOGETHER para mapear os dados e transformar essa primeira experiência em uma rotina de proteção.

Perguntas frequentes

Quantas categorias a empresa deve ter?

Use a quantidade necessária para distinguir cuidados reais. O modelo proposto neste artigo tem três categorias, que podem ser adaptadas. Se duas categorias levam exatamente às mesmas decisões, avalie reuni-las. Se uma delas mistura riscos muito diferentes, reveja seus critérios.

Preciso comprar uma ferramenta para começar?

É possível começar com uma política clara, modelos de documentos e permissões nos sistemas existentes. Ferramentas podem apoiar a aplicação dos rótulos em maior escala. Primeiro, defina os critérios e teste se a equipe os entende. A escolha técnica deve acompanhar essa necessidade.

Um documento público dispensa proteção?

Não. Ele ainda precisa estar correto e disponível quando necessário. Permita sua divulgação, mas controle quem pode alterar a versão oficial. Se houver dados pessoais, verifique por que serão divulgados e se a lei permite esse uso.