LGPD para quem faz suporte técnico remoto o que você precisa saber

A Lei Geral de Proteção de Dados (LGPD) entrou em vigor em 2020, mas muita gente que trabalha com suporte técnico ainda não entendeu o impacto direto no dia a dia. Se você acessa o computador do cliente - mesmo por alguns minutos, mesmo 'só pra resolver um problema' - você tá processando dados pessoais, e isso te coloca sob responsabilidade legal.

Este artigo explica em linguagem simples o que a LGPD exige do técnico de suporte, quais os riscos de não cumprir, e como se proteger com boas práticas e ferramenta certa.

O que é LGPD (em 3 linhas)

Lei que protege dados pessoais de pessoas físicas no Brasil. Vale pra qualquer um que trate (colete, use, guarde, compartilhe) dados pessoais - de empresa grande a autônomo. Multas podem chegar a R$ 50 milhões ou 2% do faturamento.

Pra técnico, o ponto crítico é: quando você acessa o PC do cliente, você vê dados pessoais (e-mails, arquivos, fotos, sistemas contábeis com CPFs). Isso te torna 'operador' de dados.

Seus papéis na LGPD

Controlador: é quem decide o que fazer com os dados (geralmente seu cliente).

Operador: é quem trata dados sob ordem do controlador (geralmente VOCÊ quando dá suporte).

Titular: é a pessoa cujos dados estão sendo tratados (o usuário final, o cliente do cliente).

Como operador, você tem obrigações: seguir instruções do cliente, manter segurança, não vazar, avisar se houver incidente.

7 obrigações práticas do técnico

1. Consentimento explícito pra cada sessão. Cliente deve autorizar (por WhatsApp, e-mail ou termo) o acesso específico. Não vale acesso silencioso ou permanente sem aviso.

2. Finalidade clara e limitada. Se conectou pra resolver problema no emissor de NF, não aproveita pra ver outra pasta, navegar no navegador, etc. Só o necessário.

3. Não copiar dados pro seu PC. Se precisar mover arquivo pra análise, peça autorização específica e delete depois. Guardar 'por precaução' é violação.

4. Criptografia obrigatória. Use ferramenta com criptografia ponta-a-ponta (TLS 1.3 ou superior). Conexão sem criptografia é infração grave.

5. Sem gravação sem consentimento. Gravar sessão sem avisar viola LGPD. Se precisar gravar pra auditoria ou treinamento, avise e tenha autorização.

6. Senha única por sessão. Não deixe acesso permanente aberto. Cada atendimento tem que gerar código novo.

7. Registro de auditoria. Mantenha log simples: data, cliente, duração, o que foi feito. Protege você em caso de questionamento.

Riscos de não seguir

Multa pela ANPD: técnico autônomo raramente é alvo direto, mas cliente empresarial multado pode cobrar de você regressivamente.

Processo civil do cliente final: se usuário descobre que teve dados expostos numa sessão sua, pode processar tanto a empresa quanto você operador.

Perda de contrato: clientes empresariais grandes (saúde, jurídico, financeiro) exigem comprovação de conformidade LGPD dos fornecedores. Sem ela, você fica de fora.

Dano reputacional: qualquer vazamento onde seu nome apareça afasta clientes. Boca a boca vai rápido.

Ferramenta LGPD-compliant: o que procurar

Criptografia ponta-a-ponta comprovada. TLS 1.3 ou superior, documentado.

Código de acesso único por sessão. Sem senha permanente por padrão.

Sem armazenamento de conteúdo da sessão. O que passa na sessão não deve ser gravado no servidor da ferramenta.

Registro de auditoria accessível. Quem conectou, quando, por quanto tempo.

Empresa hospedada no Brasil. Reduz complexidade pra transferência internacional de dados.

Política de privacidade em português e clara. Ferramenta gringa com política confusa é risco.

O SoftAcesso atende todos esses requisitos. Empresa brasileira, servidor no Brasil, criptografia ponta-a-ponta WebRTC (DTLS-SRTP), código único por sessão, sem armazenamento de conteúdo.

Termo de consentimento simples

Sugestão prática: quando cliente pedir suporte, mande uma mensagem padrão antes de conectar. Exemplo:

'Pra eu resolver o problema, preciso acessar seu computador por X minutos. Vou ver apenas o necessário pra corrigir [descrever]. Não vou copiar nem compartilhar nada que não seja combinado. Pode autorizar?'

Resposta 'sim' do cliente já serve como consentimento. Salve a conversa - serve como registro se algum dia for questionado.

Conclusão

LGPD não é burocracia que você pode ignorar. Quem faz suporte técnico remoto tá na linha de frente do tratamento de dados pessoais - e a responsabilidade é real.

Boa notícia: seguir LGPD não é difícil. Pede consentimento, usa ferramenta segura, limita ao necessário, não guarda o que não precisa. Isso já cobre 90% dos casos.

Ferramenta certa faz muita diferença. SoftAcesso é LGPD-compliant por design - criptografia ponta-a-ponta, código único, servidor no Brasil, sem armazenamento de sessão. Por R$ 29/mês você resolve o problema técnico e o compliance ao mesmo tempo.

Responsabilidade do controlador vs operador: onde você se encaixa

A LGPD classifica os agentes de tratamento de dados em duas categorias principais: controlador (quem decide o que fazer com os dados) e operador (quem apenas executa operações com os dados em nome do controlador). Essa distinção muda tudo em termos de responsabilidade legal.

Quando você presta suporte técnico remoto pra uma empresa, tipicamente você atua como operador - a empresa cliente é a controladora dos dados dos clientes dela. Você acessa dados apenas pra executar o serviço técnico. Pra operador, a principal obrigação é: seguir as instruções do controlador, aplicar medidas de segurança adequadas, comunicar imediatamente qualquer incidente de segurança, e apagar ou devolver os dados após o término do serviço.

Isso deveria estar explícito em contrato de prestação de serviço - é o chamado DPA (Data Processing Agreement) ou Acordo de Tratamento de Dados. Profissional sério inclui essa cláusula em todo contrato de manutenção ou suporte recorrente. Formalizar a relação protege ambos: cliente tem comprovação de que contratou profissional cuidadoso; você tem documentação se surgir disputa sobre tratamento de dados.

Logs de sessão e trilha de auditoria: o que guardar

LGPD exige que você mantenha registro das operações de tratamento que faz. Pra suporte remoto, isso significa registrar pelo menos: quem acessou (você, identificado), quando (data e hora de início e fim da sessão), qual máquina (identificador do cliente), qual finalidade (problema técnico específico), e resultado (resolvido, encaminhado, cancelado).

Sistemas de acesso remoto profissionais geram esse log automaticamente. SoftAcesso registra cada sessão com timestamp e metadados básicos - você baixa em CSV quando precisar provar compliance. Cronológico, imutável, assinado. Ferramenta que não gera logs deixa você vulnerável - se houver questionamento legal sobre se você acessou máquina X no dia Y, você não consegue provar nada.

Importante: NÃO grave o conteúdo da sessão (tela, teclas pressionadas, arquivos transferidos) a menos que haja razão legal específica (investigação, auditoria corporativa formal, exigência do controlador). Gravação de sessão é tratamento de dado potencialmente sensível - precisa de finalidade legítima, base legal clara e prazo de retenção definido. Pra rotina de suporte, log de metadados basta.

Incidente de segurança: o que fazer nas primeiras 48h

Imagine que você está dando suporte remoto e identifica que o PC do cliente foi invadido - ransomware, trojan, vazamento de dados. Isso é incidente de segurança que envolve dados pessoais. A LGPD tem protocolo específico que você precisa seguir:

Primeiras 2 horas: isole a máquina comprometida (desconecte da rede imediatamente), documente o que foi detectado (print, horário, natureza do incidente), não tente remediar sozinho antes de comunicar o cliente.

Primeiras 24 horas: comunique formalmente o cliente (via email com confirmação de recebimento, não só WhatsApp) descrevendo o incidente, os dados possivelmente afetados, as medidas iniciais tomadas, e recomendação de próximos passos. Cliente é o controlador - quem tem obrigação legal de comunicar a ANPD é ele, não você. Mas você tem obrigação de comunicar ele imediatamente.

Até 48-72 horas: se o incidente tiver impacto relevante (vazamento de dados sensíveis, invasão confirmada que expôs base de clientes), o controlador tem obrigação de comunicar a ANPD em tempo razoável - geralmente interpretado como 2-5 dias úteis. Não ignore. Empresas que não comunicam incidente e a ANPD descobre depois enfrentam multa severa.

Escolhendo ferramentas compliant: critérios práticos

Nem toda ferramenta de acesso remoto atende LGPD. Critérios objetivos pra escolher:

1. Servidores em território nacional. Ferramenta brasileira (SoftAcesso) mantém dados no Brasil, sob jurisdição da LGPD. Ferramenta estrangeira (TeamViewer, AnyDesk, Splashtop) transfere dados internacionalmente - exige análise de adequação do país receptor + cláusulas contratuais específicas.

2. Criptografia forte em trânsito e em repouso. Mínimo TLS 1.2, ideal TLS 1.3. Sessão criptografada ponta-a-ponta (só os dois endpoints descriptografam, servidor intermediário não acessa). Perguntar ao fornecedor especificamente: 'qual cifra é usada? Quem tem a chave?'.

3. Controle de acesso granular e 2FA. Só você acessa sua conta; 2FA obrigatório pra login sensível; logs de tentativa de login suspeita. Ferramenta sem 2FA é risco em 2026.

4. Política de retenção explícita. Dados ficam quanto tempo? São apagados quando você cancela? Suportam exclusão por solicitação (direito do titular)? Política de privacidade em português, clara, acessível.

5. DPO ou canal de privacidade. Empresa séria tem canal específico pra questões de privacidade - email [email protected] ou formulário dedicado. Se pergunta sobre LGPD demora dias pra ser respondida, o fornecedor não leva o assunto a sério.

Continue lendo: Ver todos os artigos · Comparativo de ferramentas · Segurança do SoftAcesso