Em resumo
- Nenhum produto torna a empresa conforme à LGPD; o Microsoft Purview fornece ferramentas para mapear, classificar, proteger, reter e auditar dados pessoais.
- Rótulos de confidencialidade, prevenção contra perda de dados (DLP), retenção, auditoria e eDiscovery respondem a medidas de segurança e a pedidos de titulares.
- Em caso de incidente com risco relevante, o controlador deve comunicar a ANPD e os titulares em 3 dias úteis; ter logs e auditoria ajuda a reunir as informações.
- Base legal, política de privacidade, contratos, encarregado e decisões sobre prazos de retenção continuam sendo da empresa. Este artigo não é aconselhamento jurídico.
O Microsoft 365 não deixa uma empresa "em conformidade com a LGPD" por si só, mas o Microsoft Purview ajuda a cumprir várias obrigações práticas: descobrir onde estão os dados pessoais, classificá-los, impedir vazamentos, definir por quanto tempo guardá-los e provar quem fez o quê. As decisões sobre o que é permitido fazer com os dados continuam sendo da empresa, com apoio jurídico.
O que a LGPD exige que a tecnologia ajude a cumprir?
A Lei 13.709/2018 trata de várias obrigações. Cinco delas têm relação direta com ferramentas de Microsoft 365, segundo o texto da lei:
- Segurança (art. 46): adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações de destruição, perda, alteração ou vazamento.
- Registro das operações (art. 37): manter registro das operações de tratamento de dados pessoais.
- Direitos dos titulares (art. 18): atender pedidos de acesso, correção, eliminação e outros.
- Incidentes (art. 48): comunicar à ANPD e aos titulares incidentes que possam causar risco ou dano relevante.
- Necessidade e prevenção: tratar só o necessário e adotar medidas para prevenir danos.
O que é o Microsoft Purview?
É o conjunto de soluções da Microsoft para governar, proteger e gerenciar dados. A documentação oficial organiza o Purview em segurança de dados (como prevenção contra perda de dados e proteção de informações), governança de dados (como o Mapa de Dados) e conformidade (como auditoria, ciclo de vida de dados e descoberta eletrônica). Quais recursos você tem depende do plano contratado, então vale confirmar a licença antes de planejar.
Como cada recurso se relaciona com a LGPD?
| Necessidade | Recurso do Purview | Como ajuda |
|---|---|---|
| Saber onde estão os dados pessoais | Classificação, tipos de informação confidencial e Mapa de Dados | Localiza dados como CPF e informações de clientes em e-mail, SharePoint e OneDrive |
| Proteger conforme a sensibilidade | Rótulos de confidencialidade | Marca documentos e e-mails, aplica criptografia e restringe o compartilhamento |
| Evitar vazamento | Prevenção contra perda de dados (DLP) | Alerta ou bloqueia o envio de dados sensíveis para fora da empresa |
| Não guardar além do necessário | Gerenciamento do ciclo de vida de dados e retenção | Mantém ou exclui conteúdo conforme a política definida pela empresa |
| Mostrar o que aconteceu | Auditoria | Registra atividades de usuários e administradores |
| Atender pedidos de titulares e investigações | Descoberta eletrônica (eDiscovery) | Busca conteúdo em caixas de e-mail e sites para localizar dados de uma pessoa |
Rótulos de confidencialidade
Um rótulo como "Público", "Interno" ou "Confidencial" acompanha o arquivo onde ele for. Em vez de depender de regras verbais, a classificação vira configuração: o documento rotulado pode ser criptografado, ter marca d'água e limitar quem abre. Isso apoia a obrigação de segurança do art. 46.
Prevenção contra perda de dados (DLP)
As políticas de DLP reconhecem padrões, como números de documentos, e avisam o usuário, registram o evento ou bloqueiam o envio por e-mail, Teams ou compartilhamento. O erro humano é a causa mais comum de vazamento, e o DLP age no momento em que ele ocorre.
Retenção e ciclo de vida
A LGPD pede que os dados não sejam guardados sem finalidade, mas outras leis exigem guarda por prazos mínimos, como a fiscal e a trabalhista. O Purview aplica o prazo, mas quem decide o prazo é a empresa, com o jurídico. Retenção também tem relação com backup: veja a diferença em Perda de dados no Microsoft 365.
Auditoria e eDiscovery
A auditoria registra, por exemplo, quem acessou, compartilhou ou excluiu um arquivo. O eDiscovery permite localizar o que a empresa tem sobre uma pessoa em caixas de e-mail e sites, o que facilita responder a um pedido de acesso ou eliminação. As duas ferramentas também servem em investigações internas.
E se houver um incidente de segurança?
Pelo guia da ANPD, a comunicação é obrigatória quando o controlador confirma um incidente que envolve dados pessoais e pode causar risco ou dano relevante aos titulares. O prazo é de 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024, salvo prazo diferente em lei específica. Os titulares também precisam ser avisados, e comunicar só a ANPD não basta. Se faltarem informações, é possível enviar uma comunicação preliminar e complementá-la em até 20 dias úteis.
Na prática, o prazo curto exige saber rapidamente o que aconteceu. Os logs de auditoria, os alertas do Microsoft Defender e uma lista de dados por sistema encurtam essa investigação.
O que o Microsoft 365 não resolve
- Base legal e finalidade: o Purview não decide se você pode tratar um dado.
- Política de privacidade, contratos e consentimentos: são documentos e processos da empresa.
- Encarregado (DPO) e governança: alguém precisa responder pela área.
- Regras e prazos de retenção: a ferramenta executa, a empresa define.
- Cultura e treinamento: configurações não substituem pessoas bem orientadas.
- Dados fora do Microsoft 365: sistemas legados, planilhas locais e papel ficam de fora.
Por onde começar
- Faça um mapa simples dos dados pessoais que a empresa trata e onde estão.
- Defina 3 ou 4 níveis de classificação e ative os rótulos.
- Comece o DLP em modo de aviso, antes de bloquear.
- Defina os prazos de retenção com o jurídico.
- Prepare o roteiro de resposta a incidentes e a pedidos de titulares.
A Brizmo apoia a governança de dados no Microsoft 365, da classificação à configuração do Purview, sempre alinhada ao jurídico da empresa.
Perguntas frequentes
O Microsoft 365 é compatível com a LGPD?
O Microsoft 365 oferece ferramentas que ajudam a empresa a cumprir a LGPD, mas a conformidade é da organização que trata os dados, e depende de processos, contratos e decisões que a tecnologia não toma sozinha.
O Microsoft Purview é obrigatório para cumprir a LGPD?
Não. A lei não exige um produto específico. O Purview é uma das formas de implementar medidas de segurança e governança, e o que importa é que as medidas sejam adequadas ao risco.
Todos os planos do Microsoft 365 incluem o Purview?
Os recursos variam por plano e por licença adicional. Antes de planejar, confira o que seu plano inclui. A Brizmo ajuda a mapear isso em planos do Microsoft 365.
Em quanto tempo preciso comunicar um incidente à ANPD?
Em 3 dias úteis a partir da confirmação de um incidente com risco ou dano relevante, segundo a Resolução CD/ANPD nº 15/2024, salvo prazo previsto em lei específica. Os titulares afetados também devem ser comunicados.
Como atender o pedido de um titular que quer apagar seus dados?
Primeiro localize os dados, com busca de eDiscovery e inventário de sistemas. Depois avalie com o jurídico se há obrigação legal de manter algum deles, e só então elimine o que for cabível, registrando a decisão.
Fontes
- Lei Geral de Proteção de Dados (Lei 13.709/2018)
- ANPD: comunicação de incidente de segurança
- Microsoft Learn: Saiba mais sobre o Microsoft Purview
Ajuda empresas a escolher, licenciar e tirar proveito do Microsoft 365, do Copilot e da plataforma Microsoft.
Conheça a Brizmo
