Como não vazar dados sigilosos da empresa — e proteger seu emprego

Passo a passo

1. 1

   Classifique a informação antes de compartilhar

   Antes de enviar qualquer arquivo ou dado, identifique o nível de sigilo: público, interno, confidencial ou restrito. Informações confidenciais e restritas nunca devem sair dos sistemas aprovados pela empresa sem autorização formal.

2. 2

   Use somente canais e ferramentas aprovados pela empresa

   E-mails corporativos, repositórios e plataformas de nuvem homologados pela TI são os únicos meios seguros para tratar dados da empresa. Gmail pessoal, Google Drive pessoal, Dropbox pessoal e similares são proibidos para arquivos corporativos.

3. 3

   Confira o destinatário antes de enviar qualquer e-mail

   O preenchimento automático do campo 'Para' é uma das principais causas de vazamento. Antes de clicar em enviar, verifique nome e endereço de e-mail de cada destinatário, especialmente em mensagens com anexos sigilosos.

4. 4

   Nunca insira dados da empresa em ferramentas de IA generativa

   Ferramentas como ChatGPT, Gemini e similares podem armazenar e usar as informações enviadas para treinar modelos. Dados de clientes, contratos, estratégias e informações financeiras jamais devem ser colados nessas ferramentas sem aprovação da equipe de segurança.

5. 5

   Evite pen drives e dispositivos pessoais

   Pen drives não criptografados e dispositivos pessoais (celular, notebook próprio) são pontos cegos da segurança corporativa. Se precisar transportar arquivos, use os meios aprovados pela empresa, sempre com criptografia.

6. 6

   Cuidado com impressões e documentos físicos

   Documentos impressos esquecidos na impressora, mesa ou lixo comum são uma forma real e frequente de vazamento. Retire suas impressões imediatamente, destrua documentos sigilosos com fragmentadora e mantenha a mesa limpa ao se ausentar.

7. 7

   Não gere links públicos para compartilhar arquivos internos

   Links de compartilhamento público em plataformas de nuvem podem ser acessados por qualquer pessoa com a URL — inclusive motores de busca. Compartilhe arquivos corporativos apenas com permissões nominais para pessoas autorizadas.

8. 8

   Se perceber que vazou dados, avise a TI imediatamente

   Notificar a equipe de segurança nas primeiras horas é a ação mais importante em caso de vazamento acidental. Quanto mais rápido o acionamento, maiores as chances de conter o dano. Ocultar o incidente agrava a situação legal e disciplinar.

Por que colaboradores causam a maioria dos vazamentos de dados corporativos

Segundo relatórios de segurança da informação, entre 60% e 80% dos incidentes de vazamento de dados têm origem em ações humanas — não em ataques externos sofisticados. O colaborador não age com má intenção na maior parte dos casos: o vazamento acontece por pressa, desconhecimento das políticas ou simplesmente por hábitos digitais formados fora do ambiente corporativo.

Os erros mais comuns incluem: enviar um e-mail para o destinatário errado (o preenchimento automático do campo 'Para' é traiçoeiro), anexar o arquivo errado, usar o Gmail pessoal ou o Google Drive pessoal para guardar documentos do trabalho por conveniência, compartilhar arquivos via link público em vez de permissões nominais, e levar dados em pen drives sem criptografia.

O crescimento do uso de ferramentas de inteligência artificial generativa no dia a dia criou um vetor de vazamento inteiramente novo: o colaborador cola um contrato, uma planilha financeira ou dados de clientes no ChatGPT para obter ajuda — e essas informações podem ser retidas pelo provedor, usadas para treinar modelos ou acessadas por terceiros. Isso representa um vazamento real, mesmo que o colaborador nunca perceba.

Classificação da informação: o primeiro passo para não vazar dados

Antes de compartilhar qualquer dado ou documento, todo colaborador precisa saber qual é o nível de sigilo daquele conteúdo. A classificação da informação é a base de qualquer programa de proteção de dados: sem ela, é impossível saber o que pode circular livremente e o que precisa de controles rígidos.

A maioria das políticas corporativas adota quatro níveis: Público (pode ser divulgado externamente sem restrições), Interno (circula dentro da empresa, mas não deve sair), Confidencial (acesso restrito a equipes específicas, exige canais seguros) e Restrito ou Secreto (acesso apenas a pessoas nominalmente autorizadas, com rastreamento de acesso).

Na prática, se você não souber a classificação de um documento que recebeu, a regra é tratar como Confidencial até verificar com o responsável. Essa postura conservadora evita que informações sensíveis sejam compartilhadas por engano. Empresas que implementam políticas claras de classificação reduzem significativamente os incidentes de vazamento acidental.

Boas práticas no dia a dia para proteger dados corporativos

Use somente as ferramentas e canais homologados pela TI da empresa. Plataformas de colaboração, e-mail corporativo, repositórios de arquivos e sistemas de gestão aprovados existem justamente para garantir que os dados fiquem em ambientes controlados, com acesso rastreável e backups gerenciados.

Adote a política de mesa limpa: ao se afastar do computador, bloqueie a tela (Windows: Win+L; Mac: Ctrl+Command+Q). Ao sair da mesa, guarde documentos físicos sigilosos em gavetas trancadas. Não deixe senhas anotadas em post-its colados no monitor. Essas práticas simples eliminam riscos físicos de vazamento frequentemente ignorados.

Antes de enviar qualquer e-mail com conteúdo sensível, adote o hábito de verificar o destinatário duas vezes — nome e endereço completo. Se possível, envie o arquivo separado do e-mail explicativo e confirme o recebimento pelo destinatário correto antes de enviar dados mais críticos. Em caso de dúvida, prefira a verificação por telefone ou canal secundário.

Consequências de vazar dados da empresa: LGPD, demissão e danos

A Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) responsabiliza as empresas por incidentes de segurança que envolvam dados pessoais. As multas podem chegar a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração. Quando o incidente tem origem em ação ou negligência de um colaborador, a empresa pode buscar ressarcimento internamente.

No âmbito trabalhista, vazar intencionalmente dados sigilosos da empresa — ou agir com negligência grave em relação a eles — pode configurar justa causa para demissão, com base no artigo 482 da CLT (alíneas 'b' — incontinência de conduta ou mau procedimento — e 'h' — ato de indisciplina ou insubordinação). Dependendo do caso, pode ainda haver ação de reparação civil por danos causados à empresa ou a terceiros.

Além das consequências legais e trabalhistas, vazamentos de dados causam danos à reputação da empresa que podem comprometer clientes, contratos e parceiros. Em setores regulados (saúde, financeiro, jurídico), o impacto pode resultar em perda de licenças e certificações. Por isso, proteger dados não é apenas obrigação legal — é uma questão de responsabilidade profissional.

O que fazer se você percebeu que vazou dados da empresa

A primeira e mais importante regra é: não tente ocultar. Vazamentos acidentais acontecem com qualquer pessoa, e a reação ao incidente pesa muito mais do que o erro em si na avaliação disciplinar e legal. Comunicar imediatamente a equipe de TI ou segurança da informação é a ação que faz a diferença entre um incidente contido e uma crise.

Documente o que aconteceu com o máximo de detalhes: qual arquivo ou dado foi compartilhado, com quem, por qual canal, em que horário e em que circunstâncias. Essas informações são essenciais para que a equipe de segurança consiga avaliar o impacto real, revogar acessos, notificar as partes afetadas e cumprir os prazos legais de comunicação à ANPD (Autoridade Nacional de Proteção de Dados), que são de até 72 horas para incidentes com dados pessoais.

Enquanto aguarda o suporte da TI, não tente 'resolver sozinho': não apague evidências, não peça ao destinatário que simplesmente apague o arquivo sem registro e não compartilhe informações sobre o incidente com pessoas não autorizadas. Ações precipitadas podem comprometer a resposta ao incidente e agravar as consequências legais para você e para a empresa.

Termos importantes

Classificação da informação

Processo de categorizar dados e documentos de acordo com seu grau de sigilo e sensibilidade, definindo quem pode acessá-los, como podem ser compartilhados e quais controles de segurança devem ser aplicados. Os níveis mais comuns são: Público, Interno, Confidencial e Restrito.

DLP (Data Loss Prevention)

Conjunto de tecnologias e processos que monitoram, detectam e bloqueiam o tráfego não autorizado de dados sensíveis para fora do ambiente controlado da empresa — seja por e-mail, upload para nuvem pessoal, cópia para dispositivos removíveis ou outros canais.

LGPD

Lei Geral de Proteção de Dados (Lei nº 13.709/2018), legislação brasileira que regula o tratamento de dados pessoais por empresas e pessoas físicas. Estabelece direitos dos titulares, obrigações das organizações e penalidades para incidentes de segurança, incluindo multas de até 2% do faturamento nacional, limitadas a R$ 50 milhões por infração.

Vazamento acidental

Incidente de segurança da informação causado por erro humano não intencional — como envio de e-mail para destinatário errado, uso de ferramentas não autorizadas ou perda de dispositivo com dados corporativos — em contraposição a ataques externos ou ações maliciosas deliberadas. É a principal causa de incidentes de dados em organizações de todos os tamanhos.

Perguntas frequentes