As discussões sobre LGPD no RH costumam começar pelo termo de consentimento assinado na admissão, item de menor relevância e de solução mais simples. A exposição indevida de dados de colaboradores raramente decorre da ausência de assinatura: ela ocorre por meio de planilhas exportadas por usuários com permissões excessivas.
O consentimento raramente é a base legal aplicável
A LGPD estabelece dez bases legais para o tratamento de dados pessoais, e o consentimento é apenas uma delas. Na relação de emprego, essa base é frágil por natureza, pois o consentimento deve ser livre e revogável, requisitos de difícil caracterização diante da subordinação existente entre empregado e empregador.
Na prática, o tratamento realizado pelo RH se fundamenta em outras bases, como o cumprimento de obrigação legal ou regulatória, a execução do contrato e o exercício regular de direitos. Essa fundamentação não flexibiliza o regime; ao contrário, vincula o tratamento à finalidade declarada, elemento ausente em exportações genéricas de dados.
A omissão da coluna não protege o dado
Este é o aspecto técnico em que a maioria dos controles de acesso apresenta deficiência. Considere que determinado usuário do RH não deva ter acesso a remunerações, e que o sistema atenda a essa restrição removendo a coluna de salário das telas e dos relatórios. A restrição aparenta estar implementada.
Se, contudo, esse usuário mantiver a possibilidade de filtrar por salário, três consultas são suficientes:
- salário superior a R$ 10.000, com retorno de oito colaboradores;
- salário superior a R$ 15.000, com retorno de três colaboradores;
- salário superior a R$ 18.000, com retorno de um colaborador.
Nenhum valor foi exibido nas três consultas e, ainda assim, a faixa salarial de um colaborador específico foi identificada. A repetição do procedimento permite determinar o valor com a precisão desejada.
O mesmo raciocínio se aplica às agregações: a média salarial de um departamento com dois colaboradores revela, com pequena margem, a remuneração de ambos.
Os pontos efetivos de saída de dados
Convém relacionar essas saídas na ordem em que costumam ser desconsideradas:
- Exportação para planilha. Realizado o download, o arquivo passa a circular em pastas compartilhadas, mensagens e dispositivos removíveis, fora do alcance dos controles do sistema.
- Relatório agendado por e-mail. Quando a geração é executada com as permissões de quem agendou, e não de quem recebe, o anexo entrega ao destinatário informações que ele não poderia consultar na tela.
- Permissões mantidas após mudança de função. O caso mais frequente é o do colaborador que deixou o RH e permaneceu com o perfil de acesso anterior.
- Integrações e credenciais de API. Costumam receber permissões amplas, por se tratar de acesso automatizado, e raramente são submetidas a revisão.
A finalidade da trilha de auditoria
A trilha de auditoria não se destina à fiscalização de comportamentos individuais. Sua finalidade é responder, diante de um incidente, a uma questão que de outro modo permaneceria sem resposta: quem acessou determinada informação e em que momento.
Para cumprir essa função, o registro precisa abranger as consultas, e não apenas as alterações. O log de alteração está presente na maioria dos sistemas, por ser de implementação mais simples, e é justamente o que não auxilia quando o incidente decorre de consulta indevida.
O registro deve abranger igualmente as exportações, identificando o responsável, os filtros aplicados, o volume de registros e a efetivação do download. Uma exportação sem registro corresponde a uma saída de dados sem rastreabilidade.
Questões a formular na avaliação de um sistema de RH
- A permissão é definida por campo ou apenas por tela? Remuneração e dados bancários evidenciam a diferença.
- Um campo restrito permanece disponível para filtro, ordenação ou fórmula?
- O relatório agendado é executado com as permissões de quem recebe ou de quem agendou?
- O modelo de relatório compartilhado transmite o resultado ou apenas a estrutura, com aplicação das permissões de cada usuário que o abre?
- A trilha registra consultas e exportações, ou somente alterações?
- Os arquivos gerados possuem prazo de expurgo e download restrito a quem os gerou?
Nenhuma dessas questões costuma constar de comparativos de funcionalidades, e todas se tornam relevantes no primeiro incidente de segurança.