O dado do seu cliente está numa planilha solta? O risco de LGPD que a fábrica esquece

A Lei Geral de Proteção de Dados (Lei 13.709/2018) entrou em vigor com sanções em 2021 — e ainda hoje a maioria dos donos de fábrica acha que ela só se aplica a bancos, e-commerces e grandes corporações. Não é verdade. Qualquer empresa que armazena nome, CPF, endereço ou WhatsApp de clientes, fornecedores ou funcionários está sujeita à LGPD. E a planilha do Google Drive compartilhada com todos do escritório é exatamente o cenário que a Autoridade Nacional de Proteção de Dados (ANPD) considera inadequado.

Isto não é alarmismo jurídico. É uma questão operacional: a maioria das indústrias brasileiras acumula dados pessoais em dezenas de planilhas sem controle de acesso, sem backup confiável e sem registro de quem acessou o quê. Quando um funcionário sai da empresa levando o arquivo na máquina pessoal, ou quando o Google Drive fica público por erro de configuração, a fábrica está na mira de multa que pode chegar a R$ 50 milhões por infração (Art. 52, Lei 13.709/2018).

Este artigo não é sobre contratar advogado ou montar um departamento jurídico. É sobre entender o que a LGPD requer na prática e organizar os dados da sua fábrica de forma simples — antes que o problema apareça na sua porta.

LGPD não é só para e-commerce: por que a fábrica está dentro da lei

A Lei 13.709/2018 define "tratamento de dados pessoais" de forma ampla: qualquer operação com dados de pessoas físicas identificadas ou identificáveis — coleta, armazenamento, uso, compartilhamento, exclusão. Se a sua fábrica anota o nome e o telefone de um comprador para enviar o pedido, isso é tratamento de dados pessoais. Se você guarda o CPF de um fornecedor pessoa física no seu cadastro, isso é tratamento de dados pessoais.

Há exceções claras na lei — uso exclusivamente pessoal, fins jornalísticos, segurança pública — mas nenhuma delas cobre a atividade industrial comum. A lei também não diferencia tamanho de empresa: a microindústria que fatura R$ 800 mil por ano e a corporação com R$ 2 bilhões de receita estão sob as mesmas obrigações básicas. O que muda com o porte é a escala das medidas esperadas, não a obrigação de ter medidas.

Desde 2023, a ANPD pode instaurar processos administrativos e aplicar sanções que incluem advertências, publicização da infração (o que pode machucar mais do que a multa) e bloqueio do banco de dados. Em 2024, a autoridade iniciou sua primeira rodada de fiscalizações em setores variados. Indústria está no escopo.

Que dados a sua fábrica coleta (sem perceber)

A maior parte das indústrias brasileiras coleta mais dados pessoais do que imagina. A lista abaixo é comum em qualquer fábrica de médio porte — e cada item é dado pessoal sujeito à LGPD:

• Clientes: nome completo, CPF ou CNPJ (e sócio pessoa física), endereço de entrega, telefone, WhatsApp, e-mail, histórico de pedidos e condições comerciais negociadas.
• Fornecedores: CPF do representante, dados bancários para pagamento (conta, banco, favorecido), endereço do contato, dados de transporte.
• Funcionários: CPF, RG, PIS/PASEP, carteira de trabalho, endereço residencial, dados de saúde (atestados, ASO), conta bancária, dependentes.
• Visitantes e prestadores: nome e documento de identidade registrados no acesso, eventualmente foto.
• Leads comerciais: cartões de visita escaneados, listas de feiras setoriais, contatos do WhatsApp Business da empresa.

O problema não é coletar esses dados — muitos deles são necessários para a operação. O problema é onde e como eles ficam guardados. Uma planilha de clientes no Google Drive sem senha, acessível por qualquer colaborador ou ex-colaborador que ainda tem o link, não é uma medida de segurança adequada. É uma vulnerabilidade.

O risco real da planilha solta

Planilha não tem controle de acesso por função. O vendedor, o financeiro, o operador de logística e o estagiário de TI acessam os mesmos dados do cliente — mesmo que cada um precise apenas de uma fração desses dados para fazer o trabalho. Isso viola o princípio da necessidade da LGPD, que diz que o tratamento deve ser limitado ao mínimo necessário para a finalidade (Art. 6º, inciso III).

Em caso de infração à Lei Geral de Proteção de Dados, as sanções podem incluir advertência, publicização, bloqueio ou eliminação dos dados pessoais e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.

— Art. 52, Lei 13.709/2018 (LGPD) · Autoridade Nacional de Proteção de Dados (ANPD)

Além do risco de multa, há consequências práticas imediatas quando uma planilha de clientes é exposta: perda de confiança do cliente, vantagem competitiva para concorrentes que tenham acesso aos dados (preços negociados, histórico de pedidos), e risco de fraude usando os dados bancários de fornecedores. O Serasa Experian estimou que o Brasil registrou mais de 5 bilhões de tentativas de fraude em 2024, com dados vazados sendo a principal matéria-prima.

Outros riscos específicos da planilha solta na fábrica:

• Ex-funcionários que saem da empresa com cópias locais das planilhas no notebook pessoal — e não há como rastrear ou revogar o acesso.
• Backups inexistentes ou irregulares: quando a planilha é corrompida ou deletada, os dados somem sem possibilidade de recuperação.
• Ausência de log de auditoria: se um dado vaza, é impossível saber quem acessou, quando e de onde.
• Versões desatualizadas: múltiplas cópias da mesma planilha circulando por e-mail, sem controle de qual é a atual.

O que a LGPD exige na prática (sem juridiquês)

Adequar-se à LGPD não significa contratar um DPO (encarregado de proteção de dados) de imediato nem fazer um projeto de dois anos com consultoria jurídica. Para uma fábrica de porte médio, as obrigações práticas se resumem a quatro pontos:

1. Ter uma base legal para cada dado que você coleta

A lei exige que você saiba por que está coletando cada dado. Para a maioria dos dados de clientes e fornecedores, a base legal é a execução de contrato (você precisa do endereço para entregar o pedido) ou a obrigação legal (você precisa do CPF para emitir a NF-e). Isso não muda nada na operação — só formaliza o porquê.

2. Responder às solicitações dos titulares

Se um cliente perguntar quais dados você tem sobre ele, ou pedir para corrigir ou excluir esses dados, você precisa conseguir fazer isso. Com planilha espalhada por dez arquivos diferentes, essa resposta é praticamente impossível. Com um sistema centralizado, é uma busca de 30 segundos.

3. Adotar medidas de segurança adequadas ao risco

A LGPD não especifica quais sistemas usar, mas exige medidas "técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas" (Art. 46). Controle de acesso por perfil de usuário, senha e autenticação em dois fatores são o mínimo esperado.

4. Saber o que você tem e onde está

Você precisa conseguir responder à pergunta: "Onde estão os dados pessoais que a fábrica trata?" Se a resposta for "em vinte planilhas, cinco e-mails e dois WhatsApp", você não está em conformidade — e, na prática, não consegue nem proteger o que não consegue mapear.

Por que sistema centralizado é mais seguro que planilha

Um sistema de gestão integrado (ERP) não é solução mágica para LGPD, mas resolve estruturalmente os principais riscos que a planilha cria. As diferenças são práticas:

• Controle de acesso por perfil: o vendedor vê os dados do cliente que precisa para fechar o pedido; o financeiro vê os dados bancários para o pagamento; o operador de produção vê apenas o que precisa para a ordem de fabricação. Ninguém tem acesso irrestrito ao banco de dados inteiro.
• Log de auditoria: qualquer acesso ou alteração em dados pessoais fica registrado com data, hora e usuário. Se um incidente acontecer, você consegue rastrear o que foi acessado e por quem — informação que a ANPD pode solicitar.
• Dados em um único lugar: não há dez versões da planilha de clientes. Há um registro de cliente, atualizado em tempo real, acessível com permissão. Isso facilita enormemente responder a solicitações de titulares.
• Backup confiável e gerenciado: sistemas em nuvem fazem backup automático e contínuo. A responsabilidade técnica pelo armazenamento seguro é do fornecedor, que por sua vez tem obrigações contratuais de segurança.
• Desligamento de usuários: quando um funcionário sai da empresa, o acesso é desativado em segundos. Com planilha, o arquivo já está na máquina dele — sem volta.

Isso não significa que só fábricas grandes podem se adequar. Sistemas como o imais$ERP já têm controle de acesso por perfil e log de auditoria incorporados — sem precisar de configuração extra de segurança. Para entender como digitalizar a gestão da sua fábrica de forma completa, veja também: Como digitalizar a gestão da sua fábrica em 2026 — guia prático.

Como organizar sem travar a operação

Adequação à LGPD na fábrica não é um projeto que para a produção. É um processo gradual que pode começar em paralelo com a operação normal. Um caminho que funciona:

1. Mapeie os dados que você tem. Faça o inventário mencionado na dica prática acima. Leva um dia e entrega uma visão clara do problema.
2. Concentre os dados no sistema de gestão. Se você usa ERP, garanta que o cadastro de clientes e fornecedores está centralizado lá — não espalhado por planilhas paralelas. Se não usa ERP, veja a seção anterior.
3. Revise as permissões de acesso. Remova acessos de ex-funcionários de todos os sistemas. Configure perfis de acesso por função no sistema de gestão. Revogue links de pastas compartilhadas que não precisam estar públicas.
4. Documente as bases legais. Para cada tipo de dado que sua fábrica trata, anote a base legal (execução de contrato, obrigação legal, legítimo interesse). Esse documento de uma página é suficiente como evidência mínima de organização.
5. Nomeie um responsável interno. Não precisa ser advogado. Pode ser o gerente administrativo ou o responsável de TI — alguém que saiba responder se a ANPD perguntar onde estão os dados e quem acessa.

O processo inteiro, feito com foco, pode ser concluído em 30 a 60 dias para uma fábrica de porte médio — sem contratar consultoria externa e sem travar a operação. O mais importante é começar. A LGPD não exige perfeição imediata; exige evidência de que a empresa está se organizando com boa-fé.

Se a sua fábrica ainda está estudando como usar tecnologia de forma estratégica na gestão, vale ler também: IA na indústria brasileira: por onde começar sem perder o controle.

Checklist: o que revisar na sua fábrica

Revise cada item com honestidade. Se você não conseguir marcar pelo menos cinco dos oito, o risco é concreto e vale priorizar a organização nos próximos 60 dias:

• Sei listar todos os locais onde a fábrica guarda dados de clientes (sistema, planilha, e-mail, WhatsApp).
• Tenho controle de quem acessa cada repositório de dados — e sei revogar o acesso de ex-funcionários em minutos.
• O cadastro de clientes e fornecedores está em um único sistema, sem duplicatas em planilhas paralelas.
• Consigo responder em menos de 48 horas se um cliente perguntar quais dados tenho sobre ele.
• Sei qual é a base legal para coletar CPF, endereço e contato dos meus clientes (contrato, obrigação legal, etc.).
• Os dados de funcionários (CPF, conta bancária, dados de saúde) estão em sistema com acesso restrito ao RH.
• Há um backup confiável de todos os dados de clientes e fornecedores, testado nos últimos 90 dias.
• Tenho um responsável interno nomeado para responder questões de proteção de dados — mesmo que informalmente.

O próximo passo

LGPD em fábrica não é problema jurídico — é problema de organização de dados. E organização de dados é exatamente o que um sistema de gestão integrado resolve: dados de clientes em um lugar, com controle de acesso, com log de auditoria, com backup automático. Não como um add-on de segurança, mas como consequência natural da centralização.

A planilha solta que guarda o CPF do seu comprador, o endereço de entrega do cliente e os dados bancários do fornecedor não é uma questão de "falta de tecnologia". É uma decisão de gestão que tem custo real — tanto de risco regulatório quanto de risco operacional quando esses dados somem ou vazam.

A IndustrialMais foi construída para quem fabrica no Brasil, com as realidades do chão de fábrica brasileiro no centro do produto. O imais$ERP já tem cadastro centralizado, perfis de acesso configuráveis e trilha de auditoria. Se você está nesse momento de organizar a casa antes de um problema aparecer, vale conhecer o que o ecossistema entrega na prática.