Já aconteceu com você ou com alguém que você conhece: um funcionário sai da empresa e, semanas depois, alguém percebe que ele ainda tem acesso ao e-mail corporativo, ao sistema de pedidos ou à pasta compartilhada com contratos de clientes. Não por má-fé de ninguém. Porque ninguém cuidou disso na hora certa.

O problema não é incomum. É, na verdade, a regra.

O ciclo que todo empresário conhece, mas raramente controla

Quando você contrata alguém, abre acessos: e-mail, sistema de gestão, pasta na nuvem, talvez o perfil do WhatsApp comercial. Quando essa pessoa sai, porém, raramente existe um processo claro para fechar esses mesmos acessos.

O resultado é previsível: ex-funcionários com login ativo por meses, senhas compartilhadas que todo mundo sabe mas ninguém mudou, e acesso a dados de cliente que ninguém deveria mais ter. O relatório Data Breach Investigations Report (DBIR) da Verizon aponta credenciais comprometidas como um dos principais vetores de violações de dados em organizações de todos os portes.

O risco não é hipotético

Casos assim chegam à ANPD com mais frequência do que a maioria imagina. A situação típica: ninguém acessou os dados indevidamente, não houve fraude nem má intenção. Só descuido. O acesso nunca foi revogado, os dados ficaram expostos por meses, e ninguém percebeu até ser tarde.

O processo na ANPD, mesmo quando não resulta em multa máxima, costuma exigir comunicar os titulares dos dados afetados, contratar assessoria jurídica e implementar medidas corretivas às pressas. Raramente é barato, e raramente é rápido.

Casos assim raramente chegam à imprensa quando envolvem pequenos negócios, mas chegam à ANPD. E o processo, mesmo quando não resulta em multa máxima, é caro o suficiente para comprometer vários meses de faturamento.

Onde os acessos ficam esquecidos

Em empresas que cresceram rápido, é comum que ninguém saiba exatamente quais acessos existem, porque foram sendo criados aos poucos, por necessidade, sem registro. Os locais mais comuns onde os acessos ficam abertos após um desligamento:

  • E-mail corporativo com histórico de meses de conversa com clientes
  • Sistema de gestão, plataforma de vendas ou sistema de relacionamento com clientes (CRM)
  • Pastas compartilhadas: Google Drive, OneDrive, Dropbox
  • WhatsApp Business instalado no celular pessoal do funcionário
  • Painéis de redes sociais e perfis de anúncio pago
  • Cadastros em marketplaces ou plataformas de cobrança

Cada um desses pontos é uma porta aberta. Não necessariamente para fraude, mas para vazamento acidental, uso indevido ou simplesmente perda de controle sobre informações que pertencem à sua empresa.

A Lei Geral de Proteção de Dados (LGPD) transformou descuido em risco financeiro real

A LGPD exige que as empresas controlem quem acessa dados pessoais de clientes e colaboradores, e que esse acesso seja proporcional à função de cada pessoa. Isso significa que manter um ex-funcionário com login ativo não é apenas descuido operacional: pode ser enquadrado como falha no tratamento de dados pessoais.

As multas da ANPD chegam a R$ 50 milhões por infração. A maioria das autuações para negócios menores não chega perto desse valor, mas o custo de uma investigação, de comunicar os clientes afetados e de implementar medidas corretivas às pressas raramente é trivial.

O setor de saúde, escritórios de advocacia, imobiliárias e qualquer negócio que guarda dados sensíveis de cliente têm exposição especialmente alta. E são exatamente os setores onde o controle de acesso costuma ser mais informal.

O que resolver antes que vire problema

O controle de acessos não precisa ser um projeto complexo de TI. O ponto de partida é simples: saber quem tem acesso a quê, e garantir que esse mapa seja atualizado quando alguém entra ou sai da equipe.

Na prática, isso passa por algumas decisões concretas. E-mails corporativos no seu próprio domínio, não o Gmail pessoal que o funcionário leva quando vai embora. Sistemas de gestão com login individual, não senha compartilhada. Um checklist de desligamento que inclua revogação de credenciais, da mesma forma que inclui devolução do crachá ou do notebook.

Empresas que operam com infraestrutura gerenciada de TI costumam resolver esse problema de forma mais previsível: quando alguém sai, o processo de desativação de acessos é padronizado, rastreável e não depende de ninguém lembrar de fazer. É a diferença entre confiar na memória de alguém e ter um processo que funciona independente de quem estiver à frente.

A pergunta não é se isso vai acontecer na sua empresa. É quando vai acontecer. E se você vai descobrir com calma ou em crise.

Se você nunca fez esse levantamento, o momento certo é antes de precisar. Comece listando os sistemas que sua equipe usa e verificando se cada pessoa ativa realmente ainda trabalha com você. É um exercício simples que pode evitar uma situação muito mais complexa.