Celulares, tablets e notebooks da empresa guardam e-mails, cadastros de clientes e acesso a sistemas internos. Este guia organiza o que a LGPD e dispositivos corporativos têm em comum na prática: quais artigos se aplicam, que controles técnicos atendem a eles, como agir diante de um incidente e que evidências a empresa precisa conseguir apresentar. O conteúdo é informativo e não substitui a análise do jurídico e do encarregado de dados.

Por que a LGPD se aplica a celulares, tablets e notebooks da empresa?

Porque a lei vale para qualquer operação de tratamento de dados pessoais, em qualquer meio. Não é preciso que ela cite smartphones.

O art. 1º da Lei 13.709/2018 abrange o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou jurídica. O art. 5º, X, define tratamento de forma ampla: coleta, armazenamento, uso, compartilhamento, transferência, eliminação, entre outras operações. Um aparelho que acessa o CRM, recebe e-mail com dados de clientes ou fotografa um documento realiza várias dessas operações ao longo do dia.

Isso inclui os dados do próprio colaborador. Inventário, registros de uso e localização coletados pelo MDM também são dados pessoais e seguem as mesmas regras. O tema da localização, que tem cuidados próprios, está no artigo sobre rastreamento GPS de celular corporativo e LGPD.

Quais obrigações unem LGPD e dispositivos corporativos?

As principais são segurança, prevenção, responsabilização com prestação de contas e comunicação de incidentes. Todas pedem controles no aparelho e registros que comprovem esses controles.

O art. 50 complementa o quadro: controladores e operadores podem formular regras de boas práticas e de governança, com padrões de segurança, ações educativas e mecanismos internos de supervisão. A política de uso de dispositivos é uma dessas regras.

Que controles técnicos atendem ao art. 46 nos aparelhos?

O art. 46 exige medidas capazes de proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas. Nos aparelhos, isso se traduz em um conjunto mínimo de configurações aplicadas e verificadas de forma contínua.

• Inventário: saber quais aparelhos existem, com quem estão e em que estado.
• Bloqueio de tela e senha forte: com bloqueio automático por inatividade.
• Criptografia ativa: verificada pela plataforma, não presumida.
• Sistema e apps atualizados: com prazo definido para aplicar correções de segurança.
• Separação entre pessoal e corporativo: perfil de trabalho no Android ou gestão de apps no iPhone, para proteger os dados da empresa sem invadir a vida do colaborador.
• Apps gerenciados: distribuição centralizada e restrição de instalação e compartilhamento fora do ambiente aprovado.
• Bloqueio e apagamento remotos: para perda, roubo e desligamento de colaboradores.

O guia orientativo de segurança da informação da ANPD para agentes de pequeno porte, publicado em outubro de 2021, inclui entre as medidas sugeridas cuidados com o uso de dispositivos móveis institucionais e pessoais. A configuração detalhada antes da entrega está no guia de política de segurança para dispositivos corporativos, e as funções remotas estão em wipe remoto, bloqueio e inventário.

O que fazer quando um dispositivo gera um incidente de segurança?

Conter o incidente, avaliar se ele pode causar risco ou dano relevante aos titulares e, se puder, comunicar a ANPD e os titulares em até três dias úteis contados do conhecimento de que dados pessoais foram afetados.

O art. 48 da LGPD obriga o controlador a comunicar incidentes que possam acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 detalha o critério no art. 5º: o incidente deve poder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver ao menos um destes elementos:

• dados pessoais sensíveis;
• dados de crianças, adolescentes ou idosos;
• dados financeiros;
• dados de autenticação em sistemas;
• dados protegidos por sigilo legal, judicial ou profissional;
• dados em larga escala.

Os prazos estão no art. 6º, para a ANPD, e no art. 9º, para os titulares: três dias úteis em ambos os casos, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. O passo a passo de perda e roubo está no guia sobre celular corporativo perdido ou roubado.

O que precisa constar no registro de incidentes?

Todos os incidentes, inclusive os que não foram comunicados, devem ser registrados e mantidos por no mínimo cinco anos, segundo o art. 10 da Resolução CD/ANPD nº 15/2024.

O registro deve conter, no mínimo:

• a data de conhecimento do incidente;
• a descrição geral das circunstâncias;
• a natureza e a categoria dos dados afetados;
• o número de titulares afetados;
• a avaliação do risco e os possíveis danos;
• as medidas de correção e mitigação;
• a forma e o conteúdo da comunicação, se houve;
• os motivos da ausência de comunicação, quando for o caso.

Para incidentes com aparelhos, o MDM fornece parte desse conteúdo: último contato, estado de criptografia e senha no momento da perda, horário do bloqueio e confirmação do apagamento. Esse histórico precisa ser exportado e anexado ao registro, porque nem toda plataforma guarda logs pelo prazo exigido.

Como o MDM ajuda a demonstrar conformidade com a LGPD?

O MDM aplica controles e gera registros. A conformidade continua dependendo de base legal, políticas, contratos, treinamento e governança, que estão fora da plataforma.

O princípio da responsabilização e prestação de contas, no art. 6º, X, exige que a empresa demonstre a adoção de medidas eficazes. Diante de um questionamento, a pergunta deixa de ser se havia política e passa a ser se ela estava aplicada naquele aparelho, naquela data. Relatórios de conformidade, histórico de políticas, inventário e registros de comandos respondem a essa pergunta.

Três cuidados tornam essas evidências úteis:

• definir quais relatórios são guardados, com que periodicidade e por quanto tempo;
• relacionar cada aparelho a uma pessoa, um centro de custo e um termo de responsabilidade;
• registrar exceções aprovadas, como um aparelho fora da política por necessidade de negócio.

Como tratar aparelhos pessoais usados no trabalho?

Com separação técnica entre o que é pessoal e o que é corporativo e com uma política escrita que diga o que a empresa vê e o que não vê.

No modelo BYOD (Bring Your Own Device, ou aparelho pessoal usado no trabalho), o colaborador também é titular de dados. A coleta deve se limitar ao espaço corporativo, o apagamento no desligamento deve atingir apenas esse espaço, e o termo precisa explicar ambos. Quando a função exige controle total do aparelho, a saída coerente com o princípio da necessidade é fornecer um equipamento da empresa.

Quanto pode custar um incidente com dispositivos?

Há dois componentes: a sanção administrativa possível e o custo operacional da violação.

No campo administrativo, o art. 52 da LGPD prevê advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados. No campo operacional, o estudo Cost of a Data Breach 2026 da IBM, divulgado em 15/10/2026, apontou custo médio de R$ 7,44 milhões por violação no Brasil, alta de 3,5% sobre os R$ 7,19 milhões do ano anterior. Saúde teve o maior custo, R$ 12,55 milhões, seguida por tecnologia, com R$ 8,96 milhões, e serviços, com R$ 8,63 milhões, segundo a cobertura do Canaltech.

Esses números não medem o custo de um celular perdido. Eles mostram o que está em jogo quando um aparelho sem controle se torna a porta de entrada de uma violação maior.

Como a MOBIT atua

A principal plataforma parceira da MOBIT é a Pulsus, que cita entre seus recursos inventário de dispositivos e apps, proteção contra malware e ransomware e gestão de termos de uso; Microsoft Intune, IBM MaaS360 e SOTI MobiControl completam a curadoria. A empresa pode fornecer a licença, implantar e operar, ou atuar sobre a licença que o cliente já tem. Conheça o serviço de gestão de dispositivos da MOBIT.

Perguntas frequentes