Privacidade operacional na Lei 21.719: do consentimento aos dispositivos
A maioria das organizações acredita que cumpre a proteção de dados. Tem políticas, formulários de consentimento e controles documentados. Mas, quando um arquivo com dados pessoais é baixado e vai parar em um notebook, esses dados saem do alcance de qualquer política ou controle. A Lei 21.719 não perdoa essa lacuna: exige demonstrar o que acontece com os dados o tempo todo, não apenas no momento em que são coletados.
Na prática, os dados vivem entre sistemas e fluxos, mas, sobretudo, em dispositivos.
O ponto cego da conformidade: quando os dados saem do sistema
Um dos maiores riscos hoje não está em como os dados são coletados, mas em como eles se dispersam. Em ambientes de trabalho modernos, os dados pessoais se replicam constantemente fora dos sistemas centrais (downloads para Excel, cópias locais, arquivos compartilhados), criando o Shadow Data: depósitos de informação pessoal fora da visibilidade e do controle de TI.
O problema não é só técnico; é legal. Ele quebra um princípio fundamental do consentimento: que os dados sejam usados exclusivamente para as finalidades autorizadas. Quando a informação é replicada fora de ambientes controlados, esse consentimento deixa de ser verificável na prática.
Um exemplo simples deixa isso claro: um analista baixa uma base de clientes do CRM para trabalhar offline e o arquivo fica no seu notebook pessoal. TI não vê e o Jurídico não sabe, mas, para a lei, esse dado continua sendo responsabilidade da organização.
A conformidade, então, não pode depender só de políticas. A privacidade precisa ser uma capacidade técnica ativa, integrada aos sistemas.
Chamamos isso de privacidade operacional: a capacidade de controlar, executar e demonstrar a conformidade na prática, não apenas no papel.
Identidade digital: o ponto de partida da rastreabilidade
A Lei 21.719 deixa claro: você não pode proteger o que não consegue atribuir. Mas há uma distinção fundamental. Uma coisa são os dados pessoais; outra é a identidade de quem os acessa ou os trata. A conformidade não exige apenas proteger os dados, mas poder demonstrar quem interage com eles.
Isso implica controles como autenticação robusta (MFA, certificados digitais), registros de acesso e, sobretudo, a correlação entre usuário, dispositivo e ação. Não é apenas controle de acesso: é rastreabilidade operacional.
E é aqui que muitas organizações falham. Em uma auditoria não basta dizer que existem controles; é preciso demonstrar quem acessou, a partir de qual dispositivo, quando e sob quais condições. Sem essa visibilidade, a identidade fica incompleta e a conformidade também.
Gestão do consentimento: de um "Checkbox" a um sistema vivo
Antes, bastava uma simples caixa de confirmação em um formulário web para coletar dados pessoais. A nova legislação exige uma mudança radical: esse registro já não é suficiente, porque o consentimento deixa de ser um evento pontual e passa a ser um sistema vivo, que precisa ser mantido ao longo do tempo.
A Lei 21.719 exige que o consentimento seja livre, específico, informado e inequívoco, mas a mudança mais profunda não está nessas características. Está na sua duração. Agora ele precisa ser demonstrável ao longo de todo o ciclo de vida do dado, o que obriga as organizações a guardar não só o “sim” do usuário, mas também todo o seu contexto: quando ocorreu, sob quais condições, qual versão do texto foi aceita e qual identidade estava envolvida.
O problema aparece quando esse consentimento muda. Em teoria, a revogação é simples: o usuário revoga sua autorização e o sistema para de processar seus dados. Na prática, essa mudança raramente se propaga por completo. Exportações, arquivos locais e integrações continuam circulando sem controle. É aí que a conformidade deixa de ser demonstrável, porque a lei não exige apenas captar o consentimento corretamente, mas demonstrar que seu estado é respeitado em toda a operação.
Gerenciar o consentimento hoje significa tratá-lo como um sinal que viaja junto com os dados por todo o seu ciclo de vida: aplicações, integrações, serviços e dispositivos
O salto crítico: quando os dados saem do sistema e chegam ao dispositivo
Os dados não vivem apenas em sistemas centrais. Eles são baixados, copiados, sincronizados e acabam armazenados em notebooks, smartphones e tablets que operam fora do controle direto de TI. Esses equipamentos são o ponto mais vulnerável da infraestrutura: se não forem gerenciados e protegidos, a conformidade deixa de ser executável na prática.
A norma exige aplicar medidas técnicas e organizacionais desde a concepção, antes de iniciar qualquer tratamento de dados. Isso significa que cada equipamento deve operar sob condições controladas: configurações de uso seguras, restrições de acesso, criptografia ativa e políticas que limitem o uso dos dados ao estritamente necessário. Não como exceção, mas como comportamento padrão.
Em ambientes reais, esse princípio logo entra em tensão.
O trabalho remoto e os modelos BYOD (Bring Your Own Device: o uso de dispositivos pessoais para trabalhar) expandem o perímetro de forma drástica. Os dados deixam de viver em redes controladas e passam a circular em equipamentos que a organização não controla por completo. Um dispositivo extraviado, uma rede insegura ou um arquivo baixado sem controle não é uma exceção: é um cenário cotidiano em que o consentimento e as políticas deixam de se aplicar na prática.
Por isso, as organizações incorporam controles que operam diretamente no dispositivo: rastreamento, criptografia, apagamento e resposta remota a incidentes. Soluções como Prey permitem estender o controle até onde o dado realmente vive. Porque, se você não consegue ver o que acontece nos dispositivos, não consegue demonstrar que a conformidade está sendo executada.
O novo papel de TI na conformidade
TI já não administra apenas infraestrutura: hoje é quem torna a conformidade executável na prática. É o ponto em que as políticas se transformam em controles reais sobre dados, acessos e dispositivos. Quando um equipamento se perde, um arquivo é baixado sem controle ou há um acesso não autorizado, quem responde primeiro não é o Jurídico: é TI.
O desafio é que essa responsabilidade cresce em um contexto pouco favorável: equipes pequenas, frotas distribuídas e pressão constante para demonstrar conformidade sem gerar atrito na operação. Por isso, o papel de TI evolui de reativo para preventivo: antecipar incidentes, estabelecer controles por padrão e gerar evidência contínua. Automatizar tarefas, centralizar a gestão de dispositivos e manter registros auditáveis deixa de ser um nice to have e passa a ser a base da conformidade sustentável.
Privacidade operacional como novo padrão de conformidade
A Lei 21.719 não redefine apenas a privacidade: redefine como a conformidade é construída. O modelo baseado em políticas e controles declarativos já não é suficiente. Hoje se exige privacidade operacional: a capacidade real de conectar identidade, consentimento e dispositivos em um sistema que permita controlar, executar e demonstrar o que acontece com os dados o tempo todo.
A pergunta já não é se você tem políticas de proteção de dados. É se você consegue demonstrar, a qualquer momento, o que realmente está acontecendo com eles.
