Monitorar um computador corporativo quase sempre significa tratar dados pessoais. Isso não torna o monitoramento proibido — torna-o um tratamento de dados que precisa de base legal, finalidade e salvaguardas.
Este artigo é material informativo, não parecer jurídico. Decisões sobre base legal e política interna devem ser validadas com a área jurídica ou com o encarregado de dados da empresa.
Que dados aparecem numa ferramenta de monitoramento
Depende do que a empresa liga, mas o conjunto típico inclui:
- Identificação do usuário e do dispositivo
- Aplicativos utilizados e tempo de uso
- Sites acessados
- Horários de atividade e de inatividade
- Localização do equipamento
- Capturas de tela, quando o recurso está ativo
Alguns desses dados são inequivocamente pessoais. Outros se tornam pessoais quando ligados a uma pessoa identificável — o que, num contexto corporativo, quase sempre é o caso.
A empresa pode monitorar computadores corporativos?
O equipamento ser da empresa é um argumento relevante, mas não é uma autorização automática e ilimitada. O que a LGPD exige é que exista base legal e que o tratamento seja adequado, necessário e proporcional à finalidade declarada.
Na prática, é isso que separa um monitoramento defensável de um que não se sustenta.
Finalidade: por que esse dado é coletado?
Cada recurso ativado precisa de uma resposta específica. Não vale "para ter controle".
- Registro de aplicativos → identificar software não autorizado
- Horário de atividade → apurar jornada e turnos
- Localização → gestão patrimonial e resposta a perda ou roubo
- Captura de tela → investigação de incidente específico
Se um recurso não tem finalidade que caiba numa frase, ele não deveria estar ligado.
Necessidade: dá para alcançar o objetivo coletando menos?
Esse é o teste que mais elimina coleta desnecessária.
Se o objetivo é saber se há software não autorizado, o inventário de aplicações resolve — captura de tela contínua não é necessária. Se o objetivo é apurar jornada, o registro de atividade basta.
Coletar a mais "porque pode ser útil um dia" é exatamente o que a análise de necessidade existe para barrar.
Balanceamento e salvaguardas
Quando a base legal é o legítimo interesse, a ANPD orienta que a empresa avalie finalidade, necessidade e o balanceamento entre os interesses da organização e os direitos e liberdades do titular — adotando salvaguardas quando o tratamento avança sobre a expectativa razoável da pessoa.
Salvaguardas concretas incluem: restringir horário de coleta ao expediente, agregar em vez de detalhar, limitar acesso, definir retenção curta e registrar quem consultou o quê.
Transparência não é opcional
A equipe precisa saber, de forma clara e acessível: o que é coletado, com qual finalidade, quem tem acesso, por quanto tempo fica guardado e como exercer seus direitos.
Monitoramento oculto é o cenário de maior risco — jurídico e de confiança.
Acesso precisa ser controlado
O dado coletado não pode estar disponível para toda a empresa. Regras mínimas:
- Acesso por papel, não por pessoa
- Justificativa registrada para consultas sensíveis
- Registro de quem acessou o quê e quando
- Revisão periódica de quem ainda precisa daquele acesso
Retenção: por quanto tempo guardar
Dado guardado indefinidamente é risco acumulado sem contrapartida. Defina prazo por tipo de registro e implemente o descarte — a política só vale se for automática.
Proporcionalidade na prática
Um exemplo concreto:
Uma empresa quer reduzir vazamento de dados. A resposta proporcional é bloquear armazenamento removível no grupo que lida com dados sensíveis e registrar tentativas. A resposta desproporcional é ligar captura de tela contínua para toda a empresa. As duas "atacam" o problema; só uma sobrevive a um exame de necessidade.
Como estruturar a implantação
- 1Mapear o que a ferramenta consegue coletar
- 2Escolher apenas o que tem finalidade declarada
- 3Definir base legal com a área jurídica
- 4Registrar a avaliação, incluindo o balanceamento
- 5Comunicar a equipe antes de ligar
- 6Configurar acesso, retenção e registro de consultas
- 7Revisar periodicamente
Como a Vigilioo se encaixa nesse contexto
Os recursos da Vigilioo são configuráveis por grupo, o que permite ligar apenas o que corresponde à política definida, em vez de tudo de uma vez. Os dados trafegam e ficam armazenados de forma criptografada e as ações administrativas ficam registradas.
A ferramenta viabiliza a política — mas a política continua sendo decisão da empresa.
Conclusão
A pergunta relevante não é "podemos monitorar?". É "o que exatamente precisamos saber, por quê, quem verá e por quanto tempo?".
Empresa que responde essas quatro perguntas antes de ligar a coleta tem um programa defensável. As que respondem depois costumam responder para outra pessoa.
