Este texto não é parecer jurídico. É o resumo prático do que uma empresa de suporte costuma precisar quando o cliente pergunta como o acesso remoto se encaixa na LGPD.
O ponto de partida: você vira operador
Quando o seu técnico acessa o computador de um cliente e enxerga a base de clientes dele, a sua empresa está tratando dado pessoal em nome de outra. Na linguagem da lei, o cliente é o controlador e você é o operador (art. 5º, VI e VII). Isso traz obrigações concretas, e a principal é conseguir demonstrar o que foi feito.
O que registrar
| Registro | Para que serve |
|---|---|
| Qual conta acessou qual máquina | Responder "quem entrou no meu computador na terça?" |
| Início e fim de cada sessão | Delimitar o período em que houve acesso |
| Autorização do momento | Mostrar que o acesso foi consentido, e não silencioso |
| Quem tem conta na sua equipe | Controlar quem pode acessar cliente, e revogar na saída |
Repare no que não está na lista: gravar a tela. Guardar imagem da sessão significa guardar os dados pessoais do cliente dentro da sua empresa, o que aumenta o seu risco em vez de reduzir. O registro administrativo responde às perguntas que importam sem criar esse passivo.
Consentimento na prática
A forma mais simples de demonstrar autorização é a própria mecânica do acesso: se para entrar é preciso que a pessoa leia uma senha que só existe naquele momento, cada sessão carrega a autorização dela dentro de si. É diferente de uma senha fixa cadastrada uma vez e usada por meses.
Se o programa que você usa permite acesso sem que o outro lado saiba, o ônus de demonstrar autorização passa a ser inteiramente seu.
Contrato com o cliente
Vale ter por escrito, no contrato de suporte, ao menos:
- Que o atendimento pode envolver acesso remoto, e em quais situações.
- Que a sua empresa não copia nem guarda dado do cliente fora do necessário para resolver o chamado.
- Quem, do seu lado, tem autorização para acessar.
- O que acontece em caso de incidente, e em quanto tempo você avisa.
Do lado de dentro
- Conta individual por técnico. Conta compartilhada destrói a rastreabilidade justamente quando ela é necessária.
- Remoção da conta no desligamento, no mesmo dia.
- Revisão periódica de quem ainda tem acesso.
- Limite de acessos simultâneos condizente com o tamanho da equipe.
No Deskta, o painel de administração registra cada sessão com a conta, a máquina, o início e o fim, e permite bloquear uma máquina ou encerrar uma sessão em andamento. A imagem da tela não é gravada em lugar nenhum, nem por nós. O que registramos está descrito aqui.