LGPD e dispositivos corporativos: o que o segmento de privacidade do PPSI 2.0 exige do seu órgão

Gestores de TI frequentemente tratam LGPD como responsabilidade do jurídico ou do DPO — e a si mesmos como executores técnicos de decisões que vêm de outra área. O PPSI 2.0 desfaz essa separação.

O segmento de privacidade do framework (Controles 19 a 25) traduz a LGPD em medidas técnicas específicas — e várias delas são diretamente de responsabilidade da equipe de TI: quais sistemas e dispositivos processam dados pessoais, como esses dados são protegidos em caso de perda ou desligamento de servidor, como dados pessoais e corporativos são separados, e como o órgão comprova que está tomando as medidas adequadas.

Este artigo explica o que o segmento de privacidade do PPSI 2.0 exige na prática para a gestão de dispositivos corporativos.

O que é o segmento de privacidade do PPSI 2.0

O segmento de privacidade compreende os Controles 19 a 25, integralmente baseados na LGPD (Lei 13.709/2018) e nas resoluções da ANPD. Diferente do segmento de segurança da informação (baseado no CIS Controls), as medidas de privacidade são primordialmente obrigações legais — não apenas boas práticas.

Controle	Tema
19 — Registro de operações de tratamento	Documentar todos os fluxos de dados pessoais — incluindo em dispositivos
20 — Ações de prevenção	Gestão de incidentes com dados pessoais e privacy by design
21 — Encarregado e direitos dos titulares	Canais para exercício de direitos pelos titulares
22 — Contratos e instrumentos	Cláusulas de proteção de dados em contratos com terceiros
23 — Análise das operações de tratamento	RIPD — Relatório de Impacto a Proteção de Dados Pessoais
24 — Compartilhamento e transferência internacional	Regras para compartilhamento de dados entre órgãos e com privados
25 — Princípios da LGPD	Finalidade, minimização, segurança, prevenção e responsabilização

O que o Controle 19 exige para dispositivos corporativos

O Controle 19 exige que o órgão registre todas as operações de tratamento de dados pessoais — e isso inclui os dados tratados em dispositivos corporativos. A medida 19.2 exige que o registro contemple as soluções de software que viabilizam o tratamento dos dados pessoais.

Na prática, isso significa que a equipe de TI precisa ser capaz de responder:

• Quais dispositivos da frota processam dados pessoais de servidores, cidadãos ou parceiros?
• Quais apps instalados nesses dispositivos acessam dados pessoais?
• Qual é a finalidade de cada tratamento — e qual é a base legal?
• Por quanto tempo esses dados ficam armazenados nos dispositivos?

Onde o MDM ajuda no Controle 19: Uma plataforma UEM fornece visibilidade centralizada sobre quais apps estão instalados em cada dispositivo e quais permissões eles têm. Isso é a base para o mapeamento de operações de tratamento que o Controle 19 exige — sem esse inventário de software, o registro de operações fica incompleto.

O que o Controle 20 exige: privacy by design e gestão de incidentes

A medida 20.4 exige que o órgão tenha um processo para promover a privacidade desde a fase de concepção — privacy by design. Para a equipe de TI, isso significa que qualquer novo projeto que envolva dispositivos corporativos (novo app, nova política de BYOD, novo sistema de rastreamento) precisa ter a privacidade considerada desde o início — não adicionada depois como patch.

A medida 20.1 exige processo documentado de gestão de incidentes com dados pessoais. Para dispositivos móveis, os cenários mais comuns de incidente são:

• Dispositivo perdido ou roubado com dados pessoais de servidores ou cidadãos;
• App não autorizado com acesso a dados pessoais instalado em dispositivo corporativo;
• Sincronização automática de dados pessoais para serviços em nuvem não autorizados;

O processo de gestão de incidentes precisa definir: prazo de notificação a ANPD (72 horas nos casos de risco), responsável pela notificação, evidências a serem preservadas e medidas de contenção — incluindo wipe remoto.

A LGPD e a separação de dados: o Work Profile como ferramenta de conformidade

O princípio da minimização da LGPD (Controle 25, medida 25.3) exige que o órgão trate apenas os dados pessoais estritamente necessários para o cumprimento das finalidades informadas. Para dispositivos móveis em modelos BYOD, isso tem uma implicação direta: dados corporativos e dados pessoais não podem se misturar.

A medida 4.12 do CIS Controls — separação de espaços de trabalho em dispositivos móveis — é a resposta técnica para essa exigência. O Work Profile do Android Enterprise cria um container separado e criptografado para apps e dados corporativos, garantindo que:

• Apps corporativos não acessam contatos, fotos ou dados pessoais do servidor;
• Apps pessoais não acessam e-mails, documentos ou sistemas institucionais;
• Quando o servidor é desligado, o órgão apaga apenas o Work Profile — sem tocar nos dados pessoais;
• A ANPD não pode alegar acesso indevido a dados pessoais pelo órgão via dispositivo corporativo;

Offboarding seguro: o que a LGPD e o PPSI 2.0 exigem quando um servidor sai

A medida 23.7 do PPSI 2.0 exige que o órgão implemente procedimentos para assegurar o término do tratamento dos dados pessoais e sua eliminação quando a finalidade for atingida ou o vínculo encerrado. Para dispositivos corporativos, isso se traduz em um processo formal de offboarding que deve incluir:

• Wipe do Work Profile (BYOD) ou wipe completo (COBO) no momento do desligamento;
• Revogação de acesso a todos os sistemas e apps corporativos;
• Registro auditável da data, dispositivo e tipo de wipe executado;
• Verificação de que dados pessoais do cidadão tratados pelo servidor foram eliminados ou transferidos;

Sem processo de offboarding, há risco duplo: Um servidor desligado com acesso ativo ao smartphone corporativo é uma violação do Controle 6 do CIS Controls (gestão de acesso) e simultaneamente uma violação do princípio da finalidade da LGPD (Controle 25, medida 25.1) — os dados corporativos não tem mais finalidade legítima para o ex-servidor. Ambas as violações são auditáveis.

O que o órgão precisa documentar para o segmento de privacidade

• Registro de operações de tratamento (Controle 19): mapeamento de quais dispositivos processam dados pessoais e quais apps são utilizados;
• Processo de gestão de incidentes com dados pessoais (Controle 20): incluindo wipe remoto como medida de contenção;
• Política de BYOD/COPE com cláusulas de separação de dados e trabalho sobre Work Profile;
• Processo formal de offboarding com registro de wipes executados;
• Relatório anual de conformidade com indicadores de privacidade (Controle 25, medida 25.10);

Conclusão

O segmento de privacidade do PPSI 2.0 não é responsabilidade exclusiva do jurídico ou do DPO. Ele tem implicações técnicas diretas para a equipe de TI — especialmente em tudo que envolve dispositivos corporativos: o que processa dados pessoais, como esses dados são protegidos, como são eliminados e como o órgão comprova que tomou as medidas adequadas.

Work Profile, wipe remoto, inventário de apps e processo formal de offboarding não são só medidas de segurança — são também medidas de conformidade com a LGPD, exigidas pelo PPSI 2.0 com evidências auditáveis.

Conformidade com LGPD e PPSI 2.0 em uma única plataforma: A Urmobo implementa Work Profile Android Enterprise, wipe seletivo no offboarding, inventário de apps com visibilidade de permissões e logs auditáveis de todas as ações sobre dispositivos — cobrindo as exigências técnicas do segmento de privacidade do PPSI 2.0 e da LGPD. Fale com a Urmobo e entenda como acelerar a conformidade do seu órgão.

FAQ

A LGPD se aplica a dispositivos corporativos?

Sim. A LGPD se aplica a qualquer operação de tratamento de dados pessoais — independente do meio. Smartphones corporativos que armazenam e-mails, contatos de cidadãos ou documentos com dados pessoais são ativos sujeitos as mesmas obrigações de proteção que sistemas e bancos de dados.

O que é privacy by design e como se aplica a dispositivos móveis?

Privacy by design é o princípio de incorporar a privacidade desde a concepção de um produto ou serviço. Para dispositivos móveis, significa que ao definir uma política de BYOD, um novo app corporativo ou um processo de enrollment, a proteção de dados pessoais deve ser considerada desde o início — não adicionada depois.

O Work Profile Android é suficiente para conformidade com a LGPD?

O Work Profile é uma ferramenta fundamental — garante a separação de dados pessoais e corporativos e permite wipe seletivo no offboarding. Mas conformidade com a LGPD exige também processo de gestão de incidentes, registro de operações de tratamento e documentação. A tecnologia resolve parte, o processo documenta o restante.

Em quanto tempo o órgão deve notificar a ANPD em caso de incidente?

A Resolução ANPD no 15/2024 estabelece prazo de 72 horas para comunicação de incidentes de segurança com dados pessoais de alto risco. Para dispositivos perdidos com dados pessoais, o wipe remoto é a primeira medida de contenção — e deve ser documentado como evidência da resposta ao incidente.

O DPO ou a equipe de TI é responsável pela conformidade nos dispositivos?

Os dois. O DPO é responsável pelo mapeamento de operações de tratamento e pelo relacionamento com a ANPD. A equipe de TI é responsável pela implementação técnica das medidas: inventário de ativos e software, configurações de segurança, wipe, Work Profile e logs. O PPSI 2.0 exige que as duas áreas trabalhem de forma integrada.

Fonte de referência: Guia do Framework PPSI 2.0, Controles 19 a 25. Secretaria de Governo Digital. LGPD — Lei no 13.709/2018.