A Lei Geral de Protecao de Dados (Lei 13.709/2018) entrou em vigor em setembro de 2020, e suas sancoes administrativas comecaram a ser aplicadas pela ANPD (Autoridade Nacional de Protecao de Dados) a partir de agosto de 2021. Desde entao, centenas de empresas ja foram notificadas e dezenas multadas por violacoes envolvendo dados pessoais em comunicacoes eletronicas.
O email corporativo e, para a maioria das empresas, o maior repositorio de dados pessoais nao estruturados. Nomes, CPFs, enderecos, dados de saude, informacoes financeiras e correspondencias confidenciais trafegam diariamente por caixas de email sem controle adequado.
Este guia detalha como adequar o email corporativo a LGPD, com orientacoes praticas para gestores de TI, DPOs (Data Protection Officers) e tomadores de decisao.
O que a LGPD exige e como impacta o email
A LGPD estabelece regras para o tratamento de dados pessoais por pessoas fisicas e juridicas, de direito publico ou privado. "Tratamento" inclui qualquer operacao com dados pessoais: coleta, armazenamento, uso, compartilhamento, exclusao.
Como o email se enquadra na LGPD
O email corporativo envolve multiplas operacoes de tratamento de dados pessoais:
- Coleta: recepcao de emails com dados pessoais de clientes, fornecedores, candidatos
- Armazenamento: manutencao de mensagens na caixa postal, em backups e em arquivamento
- Uso: leitura, encaminhamento, resposta de emails com dados pessoais
- Compartilhamento: envio de dados pessoais por email a terceiros
- Exclusao: eliminacao de mensagens contendo dados pessoais
Principios da LGPD aplicados ao email
- Finalidade: dados pessoais em emails so podem ser usados para a finalidade informada ao titular
- Adequacao: o tratamento deve ser compativel com a finalidade
- Necessidade: limitar o tratamento ao minimo necessario (nao solicitar dados excessivos por email)
- Livre acesso: o titular pode consultar quais dados seus estao em emails da empresa
- Qualidade dos dados: manter os dados atualizados e corretos
- Transparencia: informar ao titular como seus dados sao tratados
- Seguranca: medidas tecnicas e administrativas para proteger dados pessoais
- Prevencao: medidas para prevenir danos ao titular
- Nao discriminacao: nao usar dados pessoais para fins discriminatorios
- Responsabilizacao: capacidade de demonstrar conformidade
Requisitos de seguranca para email corporativo
A LGPD exige (Art. 46) que empresas adotem "medidas de seguranca, tecnicas e administrativas aptas a proteger os dados pessoais de acessos nao autorizados e de situacoes acidentais ou ilicitas de destruicao, perda, alteracao, comunicacao ou qualquer forma de tratamento inadequado ou ilicito."
Medidas tecnicas obrigatorias
Criptografia:- TLS 1.2 ou superior em todas as conexoes de email (envio, recepcao, acesso via webmail e aplicativos)
- Criptografia em repouso para dados armazenados (AES-256 recomendado)
- Considerar criptografia ponta a ponta para dados sensiveis
- Senhas com requisitos de complexidade (minimo 12 caracteres)
- Autenticacao em dois fatores (2FA) para todas as contas
- Bloqueio automatico apos tentativas falhas de login
- Politica de rotacao de senhas
- Principio do menor privilegio (acesso somente ao necessario)
- Segregacao de funcoes (administradores, usuarios, auditores)
- Revisao periodica de acessos e permissoes
- Desativacao imediata de contas de ex-funcionarios
- Logs de acesso a caixas postais
- Logs de envio e recepcao de mensagens
- Alertas para atividades anomalas
- Retencao de logs por periodo adequado
Medidas administrativas necessarias
- Politica de uso do email: regras claras sobre uso aceitavel, dados sensiveis, compartilhamento
- Treinamento de funcionarios: conscientizacao sobre LGPD e boas praticas de seguranca
- Procedimentos de resposta a incidentes: plano documentado para violacoes de dados
- Gestao de terceiros: contratos com provedores incluindo clausulas de protecao de dados
- Avaliacao de impacto: RIPD (Relatorio de Impacto a Protecao de Dados) para tratamentos de alto risco
Arquivamento de email e LGPD
O arquivamento de email e um dos pilares do compliance LGPD, permitindo a empresa demonstrar conformidade, atender solicitacoes de titulares e responder a auditorias.
Por que arquivar emails
- Obrigacao legal: diversas leis exigem retencao de comunicacoes por periodos especificos
- Defesa em processos: emails sao frequentemente usados como prova em litígios
- Auditoria: demonstracao de conformidade a reguladores (ANPD, auditorias internas)
- Direitos dos titulares: capacidade de localizar e fornecer dados pessoais a pedido do titular
- Continuidade de negocio: preservacao de conhecimento institucional
Prazos de retencao por tipo de dado
A LGPD nao define prazos fixos de retencao, mas outras legislacoes sim:
Dados contabeis e fiscais:- Codigo Civil (Art. 1.194): 5 anos no minimo
- Legislacao tributaria: 5 anos (prazo decadencial)
- Recomendacao pratica: 6 anos
- CLT: 5 anos durante a vigencia do contrato, 2 anos apos a rescisao
- Previdenciario: 10 anos (comprovantes de recolhimento)
- Recomendacao pratica: 10 anos
- CFM (prontuarios): 20 anos no minimo
- ANVISA (farmacovigilancia): 15 anos
- Recomendacao pratica: 20 anos
- BACEN: 5 a 10 anos conforme a regulamentacao especifica
- CVM: 5 anos minimo
- COAF (prevencao a lavagem de dinheiro): 10 anos
- Sem obrigacao legal especifica
- Recomendacao pratica: 3 a 5 anos, conforme necessidade de negocio
Meile Archiving: compliance simplificado
O Meile Archiving e a solucao de arquivamento de email da Meile, projetada especificamente para atender requisitos de compliance:
- Arquivamento automatico: todas as mensagens sao arquivadas em tempo real, sem intervencao do usuario
- Imutabilidade: mensagens arquivadas nao podem ser alteradas ou excluidas por usuarios
- Busca indexada: localizacao de mensagens por remetente, destinatario, data, assunto ou conteudo em segundos
- Politicas de retencao: configuracao granular por departamento, tipo de dado ou base legal
- Exportacao: geracao de relatorios em formatos padrao (PST, EML, PDF)
- Exclusao seletiva: eliminacao de dados com certificado de descarte para atender pedidos de titulares
- Chain of custody: registro inviolavel da cadeia de custodia de cada mensagem
Direitos dos titulares e email
A LGPD garante ao titular de dados uma serie de direitos (Art. 18) que a empresa deve ser capaz de atender, incluindo dados em emails.
Direito de acesso (Art. 18, II)
O titular pode solicitar acesso a todos os dados pessoais seus que a empresa possui. Para emails, isso significa:
Sem uma ferramenta de busca indexada, atender essa solicitacao pode levar semanas. Com o Meile Archiving, a busca e feita em segundos.
Direito de exclusao (Art. 18, VI)
O titular pode solicitar a eliminacao de seus dados pessoais. Para emails:
Direito de portabilidade (Art. 18, V)
O titular pode solicitar a transferencia de seus dados para outro fornecedor. Para emails, isso pode envolver a exportacao de mensagens em formato padrao.
Direito a informacao sobre compartilhamento (Art. 18, VII)
O titular pode perguntar com quem seus dados foram compartilhados. Logs de email permitem rastrear encaminhamentos e copias de mensagens.
Notificacao de incidentes
A LGPD exige (Art. 48) que o controlador comunique a ANPD e ao titular em caso de incidente de seguranca que possa acarretar risco ou dano relevante.
O que constitui um incidente de email
- Invasao de conta de email com acesso a dados pessoais
- Envio acidental de dados pessoais para destinatario errado
- Vazamento de lista de emails com dados pessoais
- Ransomware que criptografa caixas de email contendo dados pessoais
- Acesso nao autorizado ao sistema de arquivamento
Prazo de notificacao
A ANPD recomenda (Resolucao CD/ANPD no 15/2024) notificacao em ate 3 dias uteis apos a tomada de conhecimento do incidente.
Conteudo da notificacao
- Descricao da natureza dos dados afetados
- Informacoes sobre os titulares envolvidos
- Medidas tecnicas e de seguranca utilizadas
- Riscos relacionados ao incidente
- Medidas adotadas para mitigar os efeitos
- Justificativa para atraso, se aplicavel
Como a Meile ajuda
- Monitoramento 24/7: deteccao rapida de incidentes
- Logs detalhados: informacoes precisas para a notificacao
- Equipe de resposta: suporte na investigacao e contencao
- Relatorios de incidente: documentacao padronizada para ANPD
Auditoria e demonstracao de conformidade
A LGPD exige que a empresa seja capaz de demonstrar conformidade (principio da responsabilizacao, Art. 6, X). Para email corporativo, isso significa:
Documentacao necessaria
- Registro de atividades de tratamento: mapeamento de todos os tratamentos de dados pessoais por email
- Politica de uso do email: regras internas para uso do email corporativo
- Politica de retencao: definicao de prazos de retencao por tipo de dado
- Procedimento de resposta a incidentes: plano documentado
- RIPD: Relatorio de Impacto a Protecao de Dados para tratamentos de alto risco
- Contratos com processadores: clausulas de protecao de dados com provedores de email
Evidencias tecnicas
- Logs de acesso e autenticacao
- Configuracao de criptografia (TLS, AES)
- Registros de treinamento de funcionarios
- Resultados de simulacoes de phishing
- Relatorios de auditoria de permissoes
- Certificados de exclusao de dados
Ferramentas da Meile para auditoria
- Painel administrativo: visao completa de todas as contas e configuracoes
- Logs exportáveis: registros de acesso, envio e recepcao em formato CSV
- Relatorios de compliance: relatorios pre-formatados para auditores
- Meile Archiving: busca e exportacao de mensagens para investigacao
Checklist de compliance LGPD para email
Use esta lista para avaliar a conformidade do email corporativo da sua empresa:
Seguranca tecnica:- Criptografia TLS em todas as conexoes
- Criptografia em repouso para dados armazenados
- Autenticacao em dois fatores ativa
- Politica de senhas implementada
- Antispam e antivirus em operacao
- SPF, DKIM e DMARC configurados
- Politica de retencao documentada
- Ferramenta de arquivamento implementada
- Processo para atender solicitacoes de titulares
- Processo de exclusao de dados com certificado
- DPO nomeado e acessivel
- Registro de atividades de tratamento atualizado
- Politica de uso do email publicada e assinada
- Treinamento de funcionarios realizado anualmente
- Plano de resposta a incidentes documentado e testado
- Contratos com provedores incluindo clausulas de protecao de dados
- Logs de acesso ativos e retidos
- Alertas para atividades anomalas configurados
- Revisao periodica de permissoes agendada
- Simulacoes de phishing realizadas regularmente
Por que escolher a Meile para compliance LGPD
A Meile e a unica provedora brasileira de email corporativo que oferece uma suite completa de ferramentas para compliance LGPD em uma unica plataforma:
- Meile Mail: email corporativo com seguranca nativa (TLS, 2FA, logs)
- Meile Antispam: protecao contra ameacas que podem causar violacao de dados
- Meile Archiving: arquivamento automatico com busca indexada e politicas de retencao
- Meile Phishing Educativo: treinamento de usuarios para reduzir risco humano
- Dados no Brasil: toda a infraestrutura em data centers brasileiros
- Suporte em portugues: equipe especializada em compliance e LGPD