LGPD e Intranet: Segurança na Comunicação Interna

LGPD e intranet: por que a comunicação interna entrou no radar do compliance

LGPD e intranet é a intersecção entre a Lei Geral de Proteção de Dados (Lei 13.709/2018) e a plataforma onde sua empresa concentra comunicação, documentos e processos internos. Na prática, significa tratar a intranet como o que ela de fato é: um ambiente de tratamento de dados pessoais de colaboradores, sujeito às mesmas obrigações legais que qualquer sistema que lida com dados de clientes. Em 2026, com a Autoridade Nacional de Proteção de Dados (ANPD) já atuando em fiscalização e sanção, essa distinção deixou de ser teórica.

O ponto cego é quase sempre o mesmo. Programas de adequação à LGPD costumam nascer olhando para fora: site, formulários, CRM, cadastro de clientes. A intranet fica de fora do escopo porque "é interna". Só que é justamente ali que estão holerites, atestados médicos, avaliações de desempenho, dados de dependentes, fotos e telefones pessoais. Dados de colaborador são dados pessoais, e alguns deles são dados sensíveis.

Este artigo faz parte do nosso cluster sobre intranet corporativa. Se você ainda está avaliando a plataforma em si, comece pelo guia definitivo de intranet com SharePoint. Aqui o recorte é específico: o que a lei exige, o que a tecnologia precisa entregar e como verificar se a sua intranet está em conformidade.

---

Que dados pessoais circulam na intranet da sua empresa?

Mais do que a maioria dos gestores imagina. Um levantamento rápido em qualquer intranet corporativa costuma revelar seis categorias de dados pessoais convivendo no mesmo ambiente:

• Dados cadastrais: nome completo, CPF, matrícula, e-mail, telefone, endereço, data de nascimento, foto.
• Dados contratuais e financeiros: holerites, informe de rendimentos, dados bancários, histórico de cargos e salários.
• Dados de saúde (sensíveis): atestados médicos, ASO, informações de plano de saúde, registros de afastamento.
• Dados de desempenho: avaliações, feedbacks, planos de desenvolvimento, resultados de pesquisas de clima.
• Dados de terceiros: dependentes, contatos de emergência, candidatos em processos seletivos.
• Dados de comportamento: quem acessou qual documento, quando e de onde.

A última categoria é a menos óbvia e a mais esquecida. Logs de acesso são dados pessoais. A própria trilha de auditoria que você precisa manter para provar conformidade é, ela mesma, um conjunto de dados que exige governança.

O artigo 5º da LGPD classifica dados de saúde como sensíveis, o que eleva o nível de exigência: base legal mais restrita, controles de acesso mais rígidos e maior exposição em caso de incidente. Uma pasta compartilhada com atestados médicos, aberta a "todos da empresa", é uma não conformidade clara. É também uma configuração muito comum.

---

O que a LGPD exige de uma plataforma de intranet?

A LGPD não fala em intranet, e isso confunde. Ela fala em tratamento de dados pessoais, e a intranet é um ambiente de tratamento. Quatro obrigações se traduzem diretamente em requisitos de plataforma.

Base legal e finalidade definida

Todo tratamento precisa de uma base legal e de uma finalidade específica. Para dados de colaboradores, a base mais comum não é o consentimento: é o cumprimento de obrigação legal ou regulatória (artigo 7º, II) e a execução do contrato de trabalho (artigo 7º, V). Isso importa na prática, porque consentimento em relação de trabalho é frágil, dada a assimetria entre empregador e empregado.

Onde isso aparece na intranet: publicar a foto de um colaborador na galeria de aniversariantes ou em um mural de reconhecimento não se sustenta em obrigação legal nem em execução de contrato. Esse é um dos poucos casos em que o consentimento específico faz sentido, e ele precisa ser revogável.

Princípio da necessidade e do acesso mínimo

O artigo 6º, III, determina que o tratamento se limite ao mínimo necessário para atingir a finalidade. Traduzido para arquitetura de intranet: ninguém deve ver o que não precisa ver. Uma intranet em que qualquer colaborador navega até a biblioteca do RH e abre a pasta de documentos funcionais viola esse princípio, independentemente de alguém ter olhado ou não.

Registro das operações de tratamento

O artigo 37 obriga controlador e operador a manterem registro das operações de tratamento. Na prática, sua intranet precisa gerar e reter trilha de auditoria: quem acessou, quem compartilhou, quem baixou, quem excluiu. Sem log, não existe prova de conformidade e não existe investigação possível depois de um incidente.

Comunicação de incidentes em até três dias úteis

Este é o prazo que mudou o jogo. A Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidentes de segurança e fixou em 3 dias úteis o prazo para notificar a ANPD e os titulares afetados, contados do conhecimento do incidente. Três dias úteis é pouco tempo para descobrir o que vazou, quantas pessoas foram afetadas e qual a gravidade, a menos que a plataforma já registre tudo isso de forma consultável.

O custo de errar é concreto. O artigo 52 da LGPD prevê multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio dos dados e publicização da sanção. E o custo direto do incidente vem antes da multa: o relatório Cost of a Data Breach, da IBM, aponta custo médio de uma violação de dados no Brasil na casa dos R$ 6,7 milhões.

---

Quais são os requisitos técnicos de segurança para uma intranet corporativa?

O artigo 46 da LGPD exige "medidas de segurança, técnicas e administrativas" adequadas, sem listar quais. A ANPD e as práticas de mercado convergem em sete controles que qualquer plataforma de intranet precisa oferecer:

1. Autenticação forte: identidade corporativa centralizada com múltiplo fator (MFA) obrigatório.
2. Controle de acesso granular: permissões por grupo, herança controlada e revisão periódica.
3. Criptografia: em trânsito e em repouso, sem exceção.
4. Prevenção contra vazamento (DLP): bloqueio automático de compartilhamento indevido de dados sensíveis.
5. Classificação da informação: rótulos que acompanham o documento e definem o que pode ser feito com ele.
6. Retenção e descarte: política automática de guarda e eliminação, porque manter dado além do necessário também é infração.
7. Auditoria e monitoramento: logs íntegros, retidos por prazo definido e efetivamente consultáveis.

Vale registrar por que o primeiro item pesa tanto. A Microsoft estima que a autenticação multifator bloqueia mais de 99% dos ataques de comprometimento de conta. E o Data Breach Investigations Report, da Verizon, mostra ano após ano que o fator humano está envolvido na maioria das violações, seja por senha reutilizada, phishing ou erro de configuração de compartilhamento. Segurança de intranet é, antes de tudo, segurança de identidade e de permissão.

---

Como o SharePoint atende aos requisitos da LGPD?

O SharePoint Online atende porque não é uma plataforma isolada: ele herda o aparato de segurança e conformidade do Microsoft 365, que já está contratado pela maioria das empresas brasileiras. Isso muda a economia do projeto, porque a camada de compliance não precisa ser comprada à parte.

Identidade e acesso: MFA e acesso condicional

O acesso à intranet passa pelo Microsoft Entra ID, a identidade corporativa da empresa. Isso permite exigir MFA, aplicar políticas de acesso condicional (bloquear login fora do país, exigir dispositivo gerenciado para baixar arquivos, encerrar sessão em equipamento não confiável) e desprovisionar o acesso de um ex-colaborador em um único lugar, com efeito imediato em toda a intranet.

Permissões granulares por grupo

O SharePoint permite controlar acesso em nível de site, biblioteca, pasta e item individual. A boa prática, e o que efetivamente sustenta o princípio da necessidade, é conceder acesso a grupos do Entra ID e nunca a pessoas. Quando alguém muda de área, muda o grupo, e as permissões se ajustam sozinhas. Uma intranet com permissões atribuídas nominalmente vira um passivo de conformidade em poucos meses. Esse tema é aprofundado no artigo sobre intranet para grandes empresas e governança em escala.

Criptografia em trânsito e em repouso

Todo o tráfego usa TLS, e os arquivos são criptografados em repouso com chaves por arquivo, não apenas por volume. Empresas com exigência regulatória mais alta podem adicionar chaves gerenciadas pelo cliente, mantendo o controle criptográfico do próprio lado.

Rótulos de confidencialidade e DLP com o Microsoft Purview

Aqui está a parte que a maioria das empresas não usa e deveria. O Microsoft Purview permite:

• Rótulos de confidencialidade aplicados ao documento, que viajam com o arquivo mesmo se ele sair do SharePoint. Um documento marcado como "Confidencial RH" continua criptografado e restrito se for anexado a um e-mail pessoal.
• Políticas de DLP que detectam padrões brasileiros como CPF, RG e dados bancários e bloqueiam o compartilhamento externo automaticamente, com aviso ao usuário no momento da ação.
• Classificação automática por tipo de conteúdo, sem depender de o colaborador lembrar de rotular.

Uma política de DLP simples, que impeça qualquer documento contendo CPF de ser compartilhado por link público, elimina de uma vez a categoria de incidente mais comum em intranets.

Retenção, descarte e trilha de auditoria

Políticas de retenção definem por quanto tempo cada tipo de conteúdo é mantido e o que acontece depois: eliminação automática, revisão manual ou arquivamento. Isso atende o princípio da necessidade e resolve o problema silencioso de acumular currículos de processos seletivos encerrados há cinco anos.

O log de auditoria unificado registra visualização, edição, download, compartilhamento e exclusão, com retenção configurável. É essa base que permite responder, dentro dos três dias úteis, o que exatamente foi exposto em um incidente.

Certificações e residência de dados

O Microsoft 365 mantém certificações ISO/IEC 27001, 27017, 27018 e 27701, esta última específica de gestão de privacidade, além de relatórios SOC 1, 2 e 3. A Microsoft opera regiões de datacenter no Brasil e oferece contrato de processamento de dados alinhado à LGPD, com a empresa cliente na posição de controladora e a Microsoft como operadora.

Isso não transfere a responsabilidade. Significa apenas que a camada de infraestrutura já vem auditada, e o que sobra para a empresa é a camada que ela de fato controla: configuração, permissão, política e conduta.

---

Checklist de compliance para a intranet da sua empresa

Use esta lista como diagnóstico. Cada item que você não conseguir responder com segurança é um risco aberto.

1. Mapeamento: existe inventário de quais dados pessoais estão na intranet e em quais bibliotecas?
2. Base legal: cada categoria de dado tem base legal e finalidade documentadas no registro de operações?
3. MFA: a autenticação multifator é obrigatória para todos, incluindo terceiros e prestadores?
4. Permissões por grupo: os acessos são concedidos a grupos, e não a pessoas individuais?
5. Revisão de acesso: existe rotina periódica de revisão de quem tem acesso a quê?
6. Dados sensíveis isolados: atestados, exames e documentos de saúde estão em biblioteca restrita?
7. DLP ativo: existe política que bloqueia compartilhamento externo de documentos com CPF ou dados bancários?
8. Compartilhamento externo: links anônimos estão desabilitados ou limitados por expiração e senha?
9. Retenção: existe política de descarte automático para currículos, avaliações e documentos vencidos?
10. Auditoria: os logs estão ativos, retidos por prazo definido e alguém sabe consultá-los?
11. Offboarding: o acesso de um desligado é revogado no mesmo dia, de forma centralizada?
12. Plano de incidente: existe procedimento escrito capaz de produzir a notificação à ANPD em 3 dias úteis?

Empresas que respondem "não" a mais de quatro itens costumam ter um problema estrutural de arquitetura, não de configuração pontual.

---

O que muda conforme o porte da empresa?

A obrigação legal é a mesma para todo mundo. O que muda é o desenho da solução.

Empresas de até 150 colaboradores. O risco predominante é o compartilhamento descontrolado: link público criado por conveniência, pasta do RH aberta demais, documento sensível trafegando por WhatsApp. Com Microsoft 365 Business Premium, o essencial já está incluso: MFA, acesso condicional, rótulos básicos e DLP. O ganho aqui é rápido e barato, porque o problema é de configuração e política, não de investimento.

Empresas de 150 a 1.000 colaboradores. Aparece a complexidade de múltiplas áreas com necessidades diferentes. É o ponto em que permissões nominais colapsam e a estrutura precisa migrar para grupos, com hierarquia de sites por departamento, rótulos de confidencialidade padronizados e retenção diferenciada por tipo de documento.

Empresas com mais de 1.000 colaboradores ou em setor regulado. Financeiro, saúde, jurídico, educação e energia acumulam a LGPD com regulação setorial. Aqui entram governança formal de conteúdo, gestão de risco interno, revisão de acesso automatizada, residência de dados e integração da intranet ao programa de compliance corporativo, com o encarregado de dados (DPO) participando da arquitetura desde o início.

Há um denominador comum a todos os portes: a intranet só cumpre o papel de proteção quando as pessoas efetivamente a usam. Enquanto documentos sensíveis circularem por grupos de mensagem e e-mail pessoal, não existe controle possível. Por isso segurança e adoção são o mesmo projeto, tema que exploramos nos artigos sobre desafios da comunicação interna e engajamento de colaboradores na intranet.

---

Como a Alpha Consultoria estrutura intranets em conformidade

Na Alpha, conformidade não é uma etapa no fim do projeto, é uma decisão de arquitetura tomada no começo. Toda intranet SharePoint que entregamos parte de três definições feitas antes da primeira tela: quais dados vão morar ali, quem precisa de acesso a cada um e por quanto tempo cada conteúdo deve existir.

Na prática, isso significa estrutura de permissões por grupo desde o primeiro dia, bibliotecas de RH separadas e restritas, rótulos de confidencialidade configurados para os tipos de documento da empresa, políticas de DLP com os padrões brasileiros de CPF e dados bancários, e treinamento da equipe que vai administrar o ambiente. Governança que ninguém sabe operar não é governança.

Se você quer saber em que pé está a sua intranet atual, nosso Diagnóstico Gratuito avalia a estrutura de permissões, os pontos de exposição e o que precisa mudar para atender à LGPD. Conheça os planos e agende uma conversa na página da intranet SharePoint.

---

Perguntas frequentes sobre LGPD e intranet

A LGPD se aplica a dados de colaboradores?

Sim, integralmente. A LGPD protege qualquer pessoa natural identificada ou identificável, sem distinguir cliente, fornecedor ou empregado. Dados de colaboradores estão sujeitos aos mesmos princípios de finalidade, necessidade, transparência e segurança, e o titular tem os mesmos direitos de acesso, correção e eliminação. A diferença relevante está na base legal: em relações de trabalho, o consentimento raramente é a base adequada, porque a assimetria entre empregador e empregado compromete sua validade.

Usar o SharePoint deixa minha empresa automaticamente em conformidade com a LGPD?

Não. Nenhuma ferramenta garante conformidade por si só. O SharePoint entrega os controles técnicos exigidos pelo artigo 46, mas eles precisam ser configurados, aplicados e mantidos. Uma intranet SharePoint com permissões abertas, sem MFA, sem DLP e sem política de retenção está tão fora de conformidade quanto uma pasta de rede compartilhada. A tecnologia resolve a capacidade; a conformidade depende da configuração e da governança.

Quem responde por um vazamento de dados na intranet: a empresa ou a Microsoft?

A empresa responde perante os titulares e perante a ANPD. Na terminologia da LGPD, a empresa é a controladora, porque decide sobre as finalidades e os meios do tratamento, e a Microsoft é a operadora, porque trata os dados em nome dela. O artigo 42 prevê responsabilização de ambos, mas os incidentes em intranet quase sempre decorrem de configuração e conduta, camadas que estão sob controle da empresa e não da infraestrutura do provedor.

É seguro publicar fotos e aniversariantes de colaboradores na intranet?

É possível, desde que com base legal adequada. Foto e data de aniversário em mural de reconhecimento não se enquadram em obrigação legal nem em execução do contrato de trabalho, então o caminho usual é o consentimento específico, informado e revogável, coletado de forma separada do contrato de trabalho. Na prática: comunicar claramente onde a imagem será exibida, permitir que o colaborador recuse sem prejuízo e retirar a publicação quando ele pedir ou quando for desligado.

Grupos de WhatsApp podem substituir a intranet na comunicação interna?

Não, e do ponto de vista da LGPD são um risco relevante. Grupos de mensagem não oferecem controle de acesso, trilha de auditoria, política de retenção ou revogação centralizada. Quando um colaborador é desligado, o histórico permanece no aparelho dele, incluindo documentos e dados pessoais de terceiros. Além disso, não há como determinar o que foi exposto em caso de incidente, o que inviabiliza a notificação em 3 dias úteis. Canais informais complementam a comunicação interna, mas não podem ser o repositório de informação corporativa.

---

Conclusão

A intranet é o ambiente onde sua empresa concentra a maior parte dos dados pessoais dos próprios colaboradores, e por isso ela pertence ao escopo do programa de LGPD com o mesmo peso que os sistemas voltados a clientes.

Os pontos centrais deste artigo:

• Dados de colaborador são dados pessoais, e atestados e informações de saúde são dados sensíveis, com exigência mais alta.
• A LGPD se traduz em quatro requisitos práticos de plataforma: base legal documentada, acesso mínimo, registro de operações e capacidade de notificar incidente em 3 dias úteis.
• Os sete controles técnicos indispensáveis são autenticação forte, acesso granular, criptografia, DLP, classificação, retenção e auditoria.
• O SharePoint entrega todos eles pelo Microsoft 365 já contratado, com certificações ISO 27001, 27018 e 27701, mas nenhum funciona sem configuração deliberada.
• Segurança e adoção são o mesmo projeto: enquanto documentos sensíveis circularem fora da plataforma, não existe controle.

Use o checklist de 12 pontos como diagnóstico inicial. Cada resposta incerta é um risco que hoje está aberto e que, na maioria dos casos, se resolve com arquitetura e política, não com investimento adicional em ferramenta.