Oito anos após a publicação da LGPD, proteção de dados ainda depende de decisões bem concretas: quem acessa as informações, onde os documentos ficam armazenados e o que acontece quando algo dá errado.
Em 14 de agosto de 2026, a publicação da Lei Geral de Proteção de Dados Pessoais completa oito anos. A LGPD, sancionada em 2018, estabeleceu regras para o tratamento de dados pessoais por empresas e outras organizações.
Para uma corretora de seguros, porém, a discussão começa muito antes de uma análise jurídica. Basta acompanhar uma contratação: documentos chegam pelo WhatsApp, informações entram em planilhas, propostas são enviadas para seguradoras, apólices ficam arquivadas e diferentes profissionais precisam consultar os dados ao longo do relacionamento com o cliente.
A ANPD (Agência Nacional de Proteção de Dados) recomenda medidas relacionadas a senhas, controle de acesso, compartilhamento de dados, cópias de segurança, e-mails e treinamento dos funcionários. Para quem dirige uma corretora, isso coloca uma pergunta objetiva sobre a mesa: se fosse preciso descobrir hoje onde estão os dados de um determinado cliente e quem consegue acessá-los, a empresa conseguiria responder?
Neste artigo, você vai encontrar 7 orientações para revisar a proteção de dados na rotina da corretora, dos acessos a sistemas e planilhas ao envio de documentos, armazenamento de informações e resposta a possíveis vazamentos. Confira!
1. Documentos enviados pelo WhatsApp precisam de uma regra
CPF, RG, comprovantes, dados bancários e outros documentos podem chegar pelo WhatsApp durante uma cotação ou contratação. O problema não está simplesmente no uso do aplicativo, e sim no que acontece depois.
O arquivo permanece apenas naquela conversa? É transferido para um ambiente corporativo? Fica armazenado no celular pessoal do corretor? Outros integrantes da equipe conseguem consultar a informação? Existe uma orientação para exclusão do documento quando ele deixa de ser necessário?
Sem uma regra comum, cada profissional cria seu próprio arquivo de clientes. A proteção de dados em corretoras começa por saber onde a informação está.
2. Planilha compartilhada não pode significar acesso liberado
Planilhas continuam presentes na rotina de muitas empresas. Elas podem reunir dados de clientes, vencimentos, valores, telefones, e-mails e informações sobre contratos.
O ponto de atenção aparece quando o mesmo arquivo é compartilhado com várias pessoas, sem definição de permissões, ou quando links continuam funcionando por meses.
A ANPD orienta que os acessos sejam concedidos conforme a necessidade de cada usuário. O órgão também recomenda o princípio do menor privilégio, no qual cada pessoa recebe somente o nível de acesso necessário para executar seu trabalho.
Isso vale para planilhas, pastas na nuvem, sistemas internos e outras bases usadas pela corretora.
3. Senha compartilhada impede saber quem fez o quê
Uma única senha para toda a equipe pode parecer mais simples. Também elimina uma informação básica em caso de problema: quem acessou determinado sistema? A orientação da ANPD é direta ao recomendar que contas e senhas não sejam compartilhadas entre funcionários.
Portais de seguradoras, CRM, e-mail, ferramentas financeiras e serviços em nuvem devem ter usuários identificáveis sempre que a plataforma permitir. Para serviços em nuvem ligados a dados pessoais, o guia da ANPD também recomenda autenticação multifator.
4. O desligamento precisa incluir a retirada dos acessos
A pessoa saiu da corretora, mas seu login continua ativo no CRM. O e-mail ainda abre. A pasta compartilhada permanece disponível. O acesso à plataforma de uma seguradora não foi retirado.
Esse tipo de situação nem sempre chama atenção porque nada aconteceu imediatamente,. mas o risco permanece aberto.
O processo de desligamento deveria incluir uma lista de sistemas, plataformas, e-mails, pastas e contas às quais o profissional tinha acesso. A retirada dessas permissões precisa fazer parte da saída, assim como a devolução de equipamentos e outros procedimentos internos.
5. Propostas e apólices precisam ter um endereço definido
Onde estão armazenadas as propostas emitidas há três anos? E as apólices? Existem arquivos duplicados em computadores, caixas de e-mail, celulares e pastas pessoais?
Guardar documentos sem saber exatamente por quanto tempo eles precisam permanecer disponíveis também aumenta a quantidade de informações expostas caso ocorra um incidente.
A revisão deve considerar quais documentos a corretora mantém, para qual finalidade, onde estão armazenados, quem pode consultá-los e quais regras legais ou contratuais determinam seu período de guarda. A LGPD exige medidas técnicas e administrativas para proteger dados contra perda, alteração, comunicação ou acesso não autorizado.
6. O dado continua exigindo cuidado quando sai da corretora
A operação de seguros envolve troca de informações com seguradoras e pode incluir prestadores de tecnologia, fornecedores e outros terceiros.
Nesse fluxo, a liderança precisa conhecer quais dados são enviados, para quem, por qual meio e com qual finalidade.
A ANPD recomenda que contratos com fornecedores estabeleçam responsabilidades relacionadas ao tratamento dos dados e incluam regras sobre compartilhamento e segurança da informação.
Esse controle ajuda a evitar uma situação comum: a corretora sabe como seus funcionários lidam com determinada informação, mas perde a visibilidade assim que ela é enviada a outra empresa.
7. A hora de definir o que fazer após um vazamento é antes do vazamento
Um arquivo enviado à pessoa errada, um notebook perdido ou um acesso indevido a uma base de clientes podem configurar incidentes envolvendo dados pessoais. A própria ANPD cita divulgação, perda e acesso não autorizado entre as situações que podem caracterizar um incidente.
Por isso, a corretora precisa saber previamente quem deve ser avisado, quem avalia o ocorrido, como interromper o acesso, quais registros devem ser preservados e quem ficará responsável pelas providências seguintes.
Nem todo incidente precisa ser comunicado à ANPD. A obrigação depende da avaliação do caso e da possibilidade de risco ou dano relevante aos titulares. Quando esses critérios estão presentes, o controlador deve comunicar a ANPD e os titulares afetados em até três dias úteis, conforme o regulamento vigente.
LGPD também é uma questão de gestão da corretora
Oito anos depois da publicação da lei, talvez a revisão mais útil não comece pelo texto da LGPD. Começa pela própria operação.
Quem tem acesso aos dados? Onde eles estão? O que ainda está sendo guardado sem necessidade? Que acesso deveria ter sido cancelado? Como as informações são enviadas a terceiros? Quem assume a condução quando acontece um problema?
Responder a essas perguntas ajuda a localizar falhas antes que elas apareçam da pior maneira possível.
Para as corretoras parceiras do GrupoGC, a organização desses processos integra uma agenda maior de gestão, governança e preparação do negócio para crescer com controle. Faça parte do GrupoGC!
