LGPD e Segurança de Dados no Descarte de Equipamentos de TI

Grande parte dos incidentes de vazamento de dados não acontece em ataques sofisticados, mas no óbvio: equipamentos descartados sem cuidado. Notebooks desativados, servidores antigos, HDs esquecidos em gavetas ou enviados para sucateiros sem qualquer controle continuam carregando dados pessoais, estratégicos e confidenciais.

No contexto da Lei Geral de Proteção de Dados (LGPD), isso é um problema direto de conformidade. A empresa continua responsável pelos dados até que eles sejam efetivamente eliminados ou tornados irreversíveis, inclusive na fase de descarte de ativos de TI. Se o processo de descarte não é seguro e rastreável, o risco jurídico e reputacional é real.

Este guia mostra, de forma objetiva, como conectar LGPD, segurança da informação e descarte de equipamentos de TI, e como a Ecobraz se encaixa como parceira de descarte certificado e destruição de dados para empresas de todos os portes e órgãos públicos.

1. Por que o descarte de TI é um ponto crítico para a LGPD

Todo equipamento de TI corporativo tem potencial de carregar dados pessoais:

• Notebooks e desktops com históricos de navegação, e-mails, planilhas e documentos;
• Servidores e storages com bases de clientes, pacientes, usuários, colaboradores;
• Dispositivos de rede com logs sensíveis;
• Smartphones e tablets corporativos com apps, mensagens e acessos a sistemas;
• Impressoras com fila de impressão e memória interna.

Quando esses ativos saem de uso, mas continuam com dados acessíveis, a empresa mantém responsabilidade. Se um terceiro acessa essas informações após um descarte mal conduzido, o incidente pode ser enquadrado como falha de segurança, com risco de sanções, ações judiciais e exposição pública.

2. LGPD: o que importa especificamente na fase de descarte

Sem entrar em juridiquês, a LGPD traz alguns princípios e obrigações que impactam diretamente o descarte de TI:

• Segurança: adoção de medidas técnicas e administrativas para proteger os dados pessoais;
• Prevenção: evitar ocorrência de danos em virtude do tratamento de dados;
• Eliminação: dados devem ser eliminados após o término do tratamento, salvo exceções legais;
• Responsabilização: a empresa precisa demonstrar que adota medidas eficazes de proteção.

Na prática, isso significa que a empresa precisa ser capaz de explicar, em uma auditoria ou incidente:

• Como realiza o descomissionamento de ativos de TI (fim de vida);
• Quais métodos aplica para eliminação ou destruição de dados antes ou durante o descarte;
• Quais fornecedores têm acesso a equipamentos com dados e como são controlados;
• Quais registros mantém para provar que o processo é executado.

3. Erros mais comuns no descarte de TI

Em ambiente corporativo, os deslizes se repetem:

• Doação de computadores “formatados” sem garantia de limpeza segura de discos;
• Venda de equipamentos usados para terceiros sem contrato adequado;
• Envio de servidores, HDs e storages para sucateiros não licenciados;
• Leilão de equipamentos sem remoção física ou destruição das mídias;
• Armazenamento indefinido de equipamentos desligados, mas ainda com dados.

Em todos esses cenários, se alguém recuperar informações e houver associação com a empresa, o problema volta para o controlador dos dados, não para o sucateiro ou terceiro.

4. Política interna de descomissionamento de equipamentos de TI

O primeiro passo para reduzir risco é ter uma política interna clara para fim de vida de ativos de TI. Essa política deve tratar, pelo menos, dos seguintes pontos:

• Escopo: quais equipamentos estão cobertos (notebooks, desktops, servidores, storages, dispositivos de rede, celulares, impressoras, etc.);
• Responsabilidades: quem aprova o descomissionamento (TI), quem lida com inventário (controladoria), quem cuida do descarte (facilities, ESG, parceiro Ecobraz);
• Fluxo de desativação: desligamento lógico (remoção de perfis, revogação de acessos, desvinculação de serviços) antes da saída física do equipamento;
• Regras de destruição de dados: definição de quando usar limpeza lógica, quando usar destruição física, e quais ativos sempre exigem destruição;
• Uso de parceiros especializados: cadastro de fornecedores como a Ecobraz para descarte certificado e destruição de dados;
• Armazenamento de evidências: onde ficam armazenados certificados, relatórios e inventários.

5. Métodos de eliminação de dados: o que faz sentido na prática

Não existe único método “mágico” para todos os casos, mas algumas linhas gerais são claras:

• Limpeza lógica (apagamento seguro): pode ser usada em determinados cenários quando a empresa planeja reutilizar ou revender internamente o equipamento. Exige ferramentas adequadas e processo controlado;
• Criptografia de disco: reduz risco em caso de extravio, mas, sozinha, não substitui processo formal de descarte;
• Destruição física de mídias: indicada para ativos críticos ou quando o equipamento está definitivamente saindo do controle da empresa.

O importante é que o método escolhido seja documentado, rastreável e executado por pessoas ou parceiros que sabem o que estão fazendo. Improviso não se sustenta em auditoria.

6. Documentação que conecta LGPD, TI e descarte

Para comprovar que a empresa trata o tema com seriedade, é essencial manter um pacote mínimo de registros:

• Inventário de ativos de TI descomissionados, com data de saída de uso e destino;
• Registros de autorização para descarte (ordens internas, chamados, aprovações eletrônicas);
• Certificados de destruição de dados emitidos pelo parceiro (como a Ecobraz), vinculados a lotes ou projetos;
• Certificados de destinação final (CDF) de resíduos eletroeletrônicos;
• Relatórios consolidados por período, CNPJ e unidade;
• Cláusulas contratuais com o parceiro de descarte cobrindo segurança da informação e confidencialidade.

Essa documentação entra diretamente em dossiês de LGPD, auditorias de segurança da informação e relatórios ESG.

7. Como a Ecobraz atua na destruição de dados e descarte de TI

A Ecobraz opera como parceira especializada em e-lixo, com foco em empresas e órgãos públicos que precisam juntar três coisas ao mesmo tempo: conformidade ambiental, segurança da informação e impacto social.

Na prática, isso significa que a Ecobraz:

• Realiza coletas programadas de equipamentos de TI em unidades, filiais, data centers e órgãos públicos;
• Aplica procedimentos de segurança específicos para equipamentos com dados sensíveis;
• Executa destruição segura de dados em mídias, com emissão de certificados vinculados ao lote;
• Garante destinação ambientalmente adequada dos resíduos eletrônicos, em conformidade com a legislação;
• Entrega documentação completa para auditorias ESG, de compliance, contratos públicos e LGPD;
• Integra, quando possível, equipamentos reaproveitáveis em projetos de inclusão digital dentro do ecossistema Ecobraz.

8. Checklist LGPD para descarte de equipamentos de TI

Como ponto de partida, uma empresa pode usar o seguinte checklist:

• [ ] Existe política formal de fim de vida de ativos de TI?
• [ ] O fluxo de desativação lógica é documentado e seguido?
• [ ] Há definição clara de quando destruir fisicamente mídias?
• [ ] Os parceiros de descarte são licenciados e contratualmente obrigados a proteger dados?
• [ ] A empresa recebe e arquiva certificados de destruição de dados por lote?
• [ ] O descarte é rastreável por CNPJ, unidade e período?
• [ ] A área de privacidade/LGPD conhece e aprova o processo?

9. Conclusão: fim de vida de TI faz parte da estratégia de proteção de dados

Não adianta investir em firewall de última geração, criptografia avançada e políticas rígidas de acesso se, ao final, notebooks e servidores saem da empresa sem controle, com dados ainda presentes nos discos.

LGPD e segurança da informação exigem visão de ciclo de vida completo dos dados e dos equipamentos que os armazenam. Isso inclui a fase de descarte.

Ao estruturar políticas internas, trabalhar com parceiros especializados como a Ecobraz e manter documentação robusta, a empresa reduz significativamente o risco de vazamento, melhora sua posição em auditorias ESG e de privacidade e demonstra, na prática, responsabilidade com dados pessoais e com o meio ambiente.

Para estruturar um plano de descarte de TI alinhado com LGPD, segurança da informação e sustentabilidade, acesse: https://ecobraz.org