LGPD e Destruição de Dados em Equipamentos de TI
Equipamentos corporativos podem armazenar informações mesmo depois de deixarem de ser utilizados. Por isso, antes da reutilização, venda, reciclagem ou descarte de ativos de TI, é importante avaliar o tratamento adequado de HDs, SSDs e outras mídias de armazenamento.
Descarte de Equipamentos
O descarte de computadores, notebooks, servidores e outros equipamentos não significa, por si só, que as informações armazenadas tenham sido eliminadas. Mídias como HDs e SSDs precisam ser avaliadas separadamente quando contêm dados corporativos.
Reciclagem de Equipamentos
A reciclagem tem como objetivo o reaproveitamento e a destinação dos materiais presentes nos equipamentos eletrônicos. Quando existem mídias com informações armazenadas, o tratamento dos dados deve ser considerado antes da destinação dos componentes.
Logística Reversa
A logística reversa organiza o retorno e o encaminhamento de equipamentos que deixaram de ser utilizados. Em operações envolvendo ativos com mídias de armazenamento, podem ser necessários procedimentos específicos para os dados antes da reutilização, reaproveitamento ou destinação.
ITAD (IT Asset Disposition)
Operações de ITAD podem envolver inventário, avaliação dos ativos, reutilização, recuperação de valor, tratamento das mídias e definição da destinação dos equipamentos, conforme as características de cada projeto.
Destruição de Dados
Quando a mídia não será reutilizada ou quando a política de segurança da empresa exigir, a destruição física pode ser utilizada para tornar o dispositivo de armazenamento inutilizável. O procedimento aplicável depende do tipo de mídia e das necessidades da operação.
Segurança da Informação e LGPD
O tratamento adequado das mídias ajuda a reduzir o risco de acesso não autorizado a informações após a retirada dos equipamentos. A operação pode ser documentada conforme os procedimentos realizados e as necessidades de controle da empresa.
Como escolher uma empresa para destruição de dados?
Antes de contratar um serviço de destruição de dados corporativos, é importante avaliar como as mídias serão identificadas, tratadas e documentadas. O procedimento adequado depende do tipo de mídia, das políticas internas da empresa e do nível de controle necessário para a operação.
Identificação das Mídias
Verifique se HDs, SSDs e outras mídias podem ser identificados e registrados conforme o escopo da operação, utilizando informações como fabricante, modelo, número de série ou patrimônio.
Controle da Operação
Avalie como o fornecedor controla as mídias durante as etapas de coleta, movimentação, tratamento e destinação, especialmente quando os dispositivos ainda armazenam informações corporativas.
Método Utilizado
O método deve ser definido de acordo com o tipo de mídia e o objetivo da empresa. Dependendo do caso, podem ser utilizados procedimentos de sanitização ou destruição física.
Documentação do Processo
Antes da contratação, confirme quais registros e documentos serão fornecidos ao término da operação e quais informações estarão associadas às mídias tratadas.
Sanitização de Dados
Quando a mídia puder ser reutilizada, avalie se o fornecedor dispõe de procedimentos adequados de sanitização de dados e como a execução do processo é registrada.
Destruição Física
Para mídias que não serão reutilizadas, verifique quais métodos de destruição física de dados estão disponíveis e se são adequados ao tipo de mídia utilizada pela empresa, como HDs, SSDs e outras mídias de armazenamento.
Evidências da Execução
Conforme as necessidades da empresa, registros da operação podem complementar o inventário e a documentação referente às mídias processadas.
Destinação das Mídias
Quando houver destruição física, também é importante entender qual será o encaminhamento dos materiais resultantes e quais etapas fazem parte do serviço contratado.
Segurança da Informação
O fornecedor deve conseguir explicar como os procedimentos adotados ajudam a reduzir o risco de acesso não autorizado aos dados durante todo o processo.
O que a LGPD diz sobre eliminação e segurança de dados?
A Lei Geral de Proteção de Dados (LGPD) estabelece princípios e medidas relacionados à proteção, segurança e eliminação de dados pessoais. Quando computadores, notebooks, servidores ou mídias de armazenamento deixam de ser utilizados, a empresa deve considerar como os dados presentes nesses dispositivos serão tratados.
Artigo 6º — Princípios
O artigo 6º estabelece princípios que devem orientar as atividades de tratamento de dados pessoais, incluindo finalidade, necessidade, segurança, prevenção e responsabilização. Esses princípios ajudam a orientar a gestão das informações durante seu ciclo de tratamento.
Artigos 15 e 16 — Término do Tratamento
Os artigos 15 e 16 tratam do término do tratamento e da eliminação dos dados pessoais. A LGPD prevê a eliminação após o término do tratamento, no âmbito e nos limites técnicos das atividades, ressalvadas as hipóteses legais em que a conservação é permitida.
Artigo 46 — Segurança dos Dados
O artigo 46 estabelece que os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.
Aplicação em Equipamentos de TI
Na retirada, reutilização ou destinação de equipamentos corporativos, é importante identificar se existem dados pessoais armazenados em HDs, SSDs e outras mídias. Conforme o tipo de mídia, a finalidade da operação e as políticas de segurança da empresa, podem ser avaliados procedimentos de sanitização de dados ou destruição física.
Quais são os riscos de descartar equipamentos sem tratar os dados?
Computadores, notebooks, servidores e outras mídias podem continuar armazenando informações mesmo depois de deixarem de ser utilizados. Quando esses ativos são reutilizados, vendidos ou descartados sem o tratamento adequado das mídias, podem surgir riscos relacionados à segurança da informação, à exposição de dados e aos controles internos da empresa.
Acesso não autorizado aos dados
Mídias que ainda contenham informações corporativas podem permitir acesso indevido aos dados caso os equipamentos saiam do controle da empresa sem um procedimento adequado de sanitização ou destruição.
Riscos relacionados à proteção de dados
Quando os equipamentos armazenam dados pessoais, uma destinação sem os controles adequados pode aumentar o risco de incidentes envolvendo essas informações e exigir análise das responsabilidades aplicáveis.
Falta de registros da operação
A ausência de inventário, identificação das mídias e registros dos procedimentos realizados pode dificultar controles internos, verificações posteriores e processos de auditoria da empresa.
Exposição de informações corporativas
Além de dados pessoais, equipamentos podem armazenar documentos, credenciais, arquivos internos, informações comerciais e outros conteúdos que a empresa não pretende disponibilizar a terceiros.
Quando a sanitização de dados pode ser utilizada?
A sanitização de dados pode ser utilizada quando a empresa pretende reutilizar, realocar, devolver ou destinar equipamentos sem necessariamente destruir fisicamente suas mídias de armazenamento. O procedimento adequado depende do tipo de mídia, da finalidade posterior do equipamento e das políticas de segurança da organização.
SSDs
SSDs exigem procedimentos compatíveis com sua tecnologia de armazenamento. Quando a mídia permanecer em utilização, a sanitização pode ser avaliada conforme o dispositivo, o método disponível e os requisitos de segurança da empresa.
Notebooks
Notebooks provenientes de renovação de parque, devolução de colaboradores ou substituição tecnológica podem ter suas mídias tratadas antes de uma possível reutilização, realocação, venda ou outra destinação.
Servidores
Mídias provenientes de servidores desativados podem exigir avaliação individual conforme sua tecnologia, o conteúdo armazenado, a política de segurança da empresa e a destinação prevista para os equipamentos.
Storages
Sistemas de armazenamento corporativo podem possuir diversas mídias e configurações. A estratégia de sanitização deve considerar a arquitetura do equipamento, os dispositivos presentes e a finalidade posterior dos ativos.
Desktops e Workstations
Computadores corporativos destinados à reutilização, realocação ou avaliação para venda podem passar por procedimentos de sanitização das mídias antes de deixarem o ambiente da empresa, conforme o escopo definido para a operação.
Quando a destruição física de dados pode ser utilizada?
A escolha entre sanitização de dados e destruição física da mídia depende do tipo de dispositivo, da finalidade posterior do equipamento, da classificação das informações armazenadas e das políticas de segurança da organização. Quando a mídia não será reutilizada, a destruição física pode fazer parte da estratégia definida para a operação.
Mídias que não serão reutilizadas
Quando HDs, SSDs e outras mídias não serão reutilizados, a destruição física pode ser considerada como parte do processo de retirada e destinação desses dispositivos.
Informações com maior nível de sensibilidade
Organizações que armazenam informações classificadas como sensíveis, confidenciais ou estratégicas podem estabelecer requisitos específicos para o tratamento das mídias ao final de sua utilização.
Políticas internas de segurança
A própria política de segurança da informação da empresa pode definir quais métodos devem ser utilizados para diferentes tipos de mídia, equipamentos e classificações de informação.
Requisitos contratuais e de auditoria
Contratos, políticas de clientes, procedimentos internos ou requisitos de auditoria podem estabelecer critérios específicos para o tratamento e a destinação das mídias de armazenamento.
Mídias com limitações para sanitização
Mídias danificadas, com falhas ou que não possam ser submetidas ao procedimento de sanitização previsto para a operação podem exigir uma abordagem diferente. Nesses casos, a destruição física pode ser avaliada conforme o tipo e a condição do dispositivo.
Como escolher entre sanitização e destruição física?
A escolha entre sanitização de dados e destruição física da mídia depende do tipo de dispositivo, da finalidade posterior do equipamento, das informações armazenadas e dos requisitos internos, contratuais ou regulatórios aplicáveis à organização. Algumas perguntas ajudam a definir o procedimento mais adequado para cada operação.
-
O equipamento ou a mídia será reutilizado? Quando existe intenção de reutilizar, realocar, devolver ou avaliar comercialmente o equipamento, a sanitização pode ser considerada antes de optar pela destruição física da mídia.
-
Qual é o tipo de mídia? HDs, SSDs, fitas e outros dispositivos possuem tecnologias diferentes. O método utilizado deve considerar as características da mídia e os procedimentos tecnicamente aplicáveis ao dispositivo.
-
Que tipo de informação está armazenada? Dados pessoais, informações confidenciais, propriedade intelectual, credenciais e documentos internos podem exigir níveis diferentes de controle conforme a classificação adotada pela organização.
-
A mídia está funcionando corretamente? A condição do dispositivo também deve ser considerada. Mídias com falhas ou limitações técnicas podem exigir uma abordagem diferente daquela utilizada em dispositivos plenamente funcionais.
-
Existe uma política interna de segurança? A política da organização pode estabelecer procedimentos diferentes conforme o tipo de equipamento, classificação das informações e finalidade posterior da mídia.
-
Existem requisitos contratuais ou regulatórios? Contratos, procedimentos internos, requisitos de clientes ou regras aplicáveis ao setor podem estabelecer critérios específicos para sanitização, destruição e documentação da operação.
-
Quais registros precisam ser mantidos? Conforme o escopo, a empresa pode precisar identificar as mídias, registrar os procedimentos realizados e manter documentação relacionada à operação para seus controles internos.
-
Qual será a destinação do equipamento? Reutilização interna, venda, devolução, reaproveitamento ou descarte são cenários diferentes. A destinação prevista ajuda a determinar quais procedimentos devem ser avaliados para as mídias.
Não existe um único método adequado para todas as mídias e operações. A decisão deve considerar o tipo e a condição do dispositivo, a possibilidade de reutilização, a classificação das informações e os requisitos definidos pela organização para o tratamento dos dados.
Sanitização de Dados ou Destruição Física?
A escolha entre sanitização de dados (Data Wipe) e destruição física da mídia depende do tipo de dispositivo, da possibilidade de reutilização, da classificação das informações e dos requisitos definidos para a operação. Veja algumas diferenças entre as duas abordagens.
Reutilização da mídia
Pode preservar a possibilidade de reutilização da mídia, conforme o método e o dispositivo.
Torna a mídia fisicamente inutilizável para sua função original.
Equipamentos para reutilização ou venda
Pode ser considerada quando o equipamento ou a mídia continuará em utilização.
Pode exigir substituição ou retirada da mídia antes da reutilização do equipamento.
Tipo de mídia
O procedimento deve ser compatível com a tecnologia e as características da mídia.
O método de destruição também deve considerar o tipo e a construção física do dispositivo.
Mídia com falha ou danificada
Algumas condições podem limitar a aplicação ou a verificação do procedimento de sanitização.
Pode ser avaliada quando a sanitização aplicável não puder ser realizada conforme o procedimento definido.
Documentação da operação
O processo pode incluir registros das mídias e dos procedimentos realizados.
A operação também pode incluir identificação das mídias e registros referentes à destruição realizada.
Recuperação de valor do equipamento
Pode favorecer a reutilização, realocação ou avaliação comercial de equipamentos que ainda possuem valor.
A destruição da mídia elimina sua possibilidade de reutilização, embora outros componentes do equipamento ainda possam ser aproveitados.
Critério para escolha
A decisão deve considerar o tipo e a condição da mídia, a finalidade posterior do equipamento, a classificação das informações e os requisitos internos, contratuais ou regulatórios aplicáveis à organização.
Não existe um único método adequado para todas as operações. A sanitização pode preservar a possibilidade de reutilização das mídias, enquanto a destruição física pode ser considerada quando a mídia não será reutilizada ou quando os requisitos definidos para a operação indicarem essa abordagem.
Atendimento para Destruição e Sanitização de Dados em São Paulo
A Webxtec avalia operações de destruição e sanitização de dados corporativos para empresas em São Paulo e municípios da Região Metropolitana, considerando a localização, quantidade e tipos de mídias, necessidade de coleta e escopo de cada operação.
São Paulo
Atendimento a empresas na capital para operações envolvendo HDs, SSDs, notebooks, servidores, storages e outras mídias corporativas, conforme as características e necessidades do projeto.
Guarulhos
A Webxtec avalia operações para empresas localizadas em Guarulhos, incluindo projetos de tratamento de mídias, destruição física de dados, sanitização e retirada de ativos de TI.
Grande ABC
Atendimento sob avaliação para operações empresariais em Santo André, São Bernardo do Campo e São Caetano do Sul, considerando volume, localização e escopo necessário para o tratamento das mídias.
Operações em outros municípios da Região Metropolitana de São Paulo podem ser avaliadas conforme a localização, quantidade de ativos e características do projeto.
Perguntas frequentes sobre destruição e sanitização de dados
Tire dúvidas sobre destruição de dados, sanitização de mídias, LGPD, documentação e destinação de equipamentos corporativos.
