LGPD: o que é, para que serve e como se adequar usando ferramentas Microsoft 365

A LGPD (Lei Geral de Proteção de Dados Pessoais) é uma legislação brasileira criada para regulamentar o uso de dados pessoais por empresas, organizações e instituições públicas. Desde sua criação, ela tem sido um tema cada vez mais relevante, especialmente com o avanço da transformação digital e o aumento da coleta de dados em ambientes virtuais.

Neste artigo, você vai entender o que é LGPD, qual sua importância, a quem ela se aplica, quais são as penalidades para quem não estiver adequado e como ferramentas como Microsoft 365, Outlook, Teams, Copilot e SharePoint podem te ajudar na conformidade.

O que é LGPD?

A LGPD é a sigla para Lei Geral de Proteção de Dados Pessoais, sancionada em 14 de agosto de 2018, inspirada na GDPR (General Data Protection Regulation) da União Europeia. A lei estabelece diretrizes claras sobre o tratamento de dados pessoais, visando proteger os direitos fundamentais de liberdade, privacidade e o livre desenvolvimento da personalidade.

Qual o objetivo da Lei Geral de Proteção de Dados?

A principal missão da LGPD é regulamentar o tratamento de dados pessoais, assegurando clareza, consentimento e transparência na coleta, armazenamento e uso dessas informações. Isso garante que o titular dos dados tenha controle sobre como suas informações são utilizadas.

Quando entrou em vigor a LGPD?

A LGPD entrou em vigor em 16 de agosto de 2020, e as sanções começaram a ser aplicadas a partir de agosto de 2021. Desde então, empresas de todos os portes têm se movimentado para estarem em conformidade com a legislação e evitarem penalizações.

A quem a LGPD se aplica?

A LGPD se aplica a todas as empresas e organizações que processam dados pessoais no Brasil ou oferecem serviços e produtos para pessoas localizadas no país. Ou seja, praticamente toda organização, independentemente do setor, precisa seguir a lei.

Quais são as penalidades para quem não se adequar?

As sanções para o não enquadramento podem ser:

• Multa de até 2% do faturamento, limitada a 50 milhões de reais por infração;
• Multa diária;
• Advertência;
• Bloqueio ou eliminação dos dados a que se refere a infração;
• Entre outros.

Quais dados são protegidos pela LGPD?

Qualquer tipo de dados pessoais e/ou pessoais sensíveis, de forma que seja possível a identificação ou caracterização de um indivíduo.

Dados pessoais:

• Nome completo;
• CPF/RG;
• Endereço;
• E-mail;
• Telefone;
• Perfil de navegação, entre outros.

Dados pessoais sensíveis:

• Informações sobre saúde;
• Opinião política;
• Religião;
• Orientação sexual;
• Origem racial ou étnica.

Esses dados exigem nível extra de proteção por poderem causar discriminação.

Como o Microsoft 365 pode ajudar na adequação à LGPD?

Você sabia que ferramentas como Outlook, SharePoint, Teams e outras da Microsoft podem ser grandes aliadas no processo de adequação à LGPD?

Vamos explorar algumas das funcionalidades que auxiliam na proteção e rastreamento de dados:

Outlook: segurança na troca de e-mails

• Criptografia de e-mails;
• Validação com assinatura digital;
• Grupos segmentados de envio.

O Outlook com conta Exchange armazena os e-mails em servidores seguros, permitindo maior controle e auditoria. Além disso, é possível aplicar classificações de sensibilidade aos e-mails enviados.

SharePoint e Teams: armazenamento e controle de acesso

Essas ferramentas são ideais para compartilhamento interno seguro de arquivos e dados:

• Controle de permissões por usuário ou grupo;
• Registro de histórico de acesso;
• Rastreabilidade de documentos;
• Exclusão ou correção rápida, conforme solicitado pelo titular.

Azure e Microsoft Cloud: camadas extras de proteção

Para empresas que buscam um nível avançado de segurança da informação, a Microsoft oferece soluções como:

• Azure Information Protection;
• Microsoft Purview (para compliance e governança);
• Defender for Cloud Apps.

Essas soluções proporcionam um ecossistema de privacidade de dados em tempo real e conformidade contínua com a LGPD.

Claro, que o principal responsável pela segurança ainda é o indivíduo, e neste ponto, nunca conseguiremos estabelecer uma forma de limitação. Vale ressaltar que a LGPD não menciona nem define nada em relação a qual forma e qual ferramenta de troca de dados, porém, podemos utilizar tudo que está a “nosso favor” para evitar possíveis vazamentos, mesmo que sem intenção.

Veja alguns prints sobre as medidas citadas acima:

1. Criptografia de e-mails para LGPD

2. Grupos de e-mails para LGPD

3. Certificado/assinatura digital para LGPD

No que diz respeito ao armazenamento de dados, prefira usar o Teams ou SharePoint, já que estamos considerando as ferramentas mais acessíveis, onde podemos limitar acessos, restringindo apenas a determinados usuários ou grupos específicos, fácil rastreio e eliminação/ correção de dados, caso solicitado pelo titular.

Além disso, considera-se muito mais eficaz e seguro compartilhar informações através destas ferramentas pois evita, por exemplo, um envio equivocado de e-mail contendo estes dados a outra pessoa, interna ou externamente a organização.

Existem também outras, como a Azure e Microsoft Cloud, com um nível mais avançado na questão de segurança da informação, auxiliando no rastreio e privacidade dos dados em uma camada mais elevada.

4. Grupos definidos e gerenciamento de participantes

LGPD e IA generativa: o que muda com o Copilot

A adoção do Microsoft Copilot e do Copilot Studio introduz novos fluxos de dados pessoais que não existiam quando a maioria das políticas de privacidade foi escrita.

Ao mesmo tempo, a Autoridade Nacional de Proteção de Dados (ANPD) elevou a régua: o Mapa de Temas Prioritários 2026-2027 prioriza fiscalização de dados de saúde, biometria e dados financeiros, e a Autoridade passou a avaliar a efetividade dos controles, não apenas a existência formal de políticas. Isso torna obrigatório entender como a IA generativa trata dados pessoais antes de habilitá-la na organização.

Para onde vão os dados quando você usa o Copilot

Quando um usuário faz uma solicitação (prompt) ao Microsoft 365 Copilot, a ferramenta combina esse texto com dados aos quais o usuário já tem acesso — e-mails, arquivos do SharePoint/OneDrive, mensagens do Teams — por meio do Microsoft Graph. Esse processo é chamado de grounding e é o que permite respostas contextualizadas.

Pontos técnicos relevantes para a LGPD:

• Prompts, dados recuperados e respostas permanecem dentro do limite de serviço (service boundary) do Microsoft 365, sob os termos de Enterprise Data Protection;
• Os dados corporativos não são utilizados para treinar os modelos de fundação (foundation models) da OpenAI ou da Microsoft;
• O Copilot respeita as permissões existentes: ele só acessa o que o usuário já poderia acessar manualmente. Por isso, permissões mal configuradas no SharePoint tornam-se um risco direto de LGPD, pois o agente pode expor a um usuário dados pessoais que deveriam estar restritos.

O que é o boundary de dados do Microsoft 365

O Microsoft 365 Data Boundary define em qual região geográfica os dados do cliente são armazenados e processados. Para organizações brasileiras, os conceitos que importam para a conformidade são:

• Residência de dados (data residency): onde os dados em repouso ficam fisicamente armazenados;
• Isolamento de tenant (tenant isolation): os dados de uma organização ficam logicamente separados dos de qualquer outra dentro da nuvem Microsoft;
• Proteção de dados comercial: o tráfego de prompts e respostas do Copilot é criptografado e permanece no tenant da organização.

Compreender esses limites é o que sustenta a base legal e a documentação de transferência internacional de dados exigidas pela LGPD quando parte do processamento ocorre fora do Brasil.

Riscos de expor dados pessoais a agentes

O Copilot Studio amplia a superfície de risco porque permite conectar agentes a fontes externas (CRM, ERP, APIs de terceiros) e publicá-los em canais como sites, Teams e aplicativos. Os principais riscos de LGPD nesse cenário:

• Exposição involuntária de PII/PSD: usuários podem digitar dados pessoais ou pessoais sensíveis no chat sem perceber, e esses dados podem ser registrados em logs;
• Retenção indevida: armazenar histórico de conversas por tempo indeterminado gera risco jurídico — vale aplicar o princípio da minimização de dados;
• Excesso de permissão (over-permissioning): conceder ao agente acesso amplo a bases internas viola o princípio do menor privilégio;
• Trânsito para serviços externos: ao integrar o agente a um CRM ou ERP, é preciso mapear o caminho completo do dado (entrada → Copilot Studio → serviço externo → logs → armazenamento) e definir base legal para cada etapa.

Como reduzir o risco: governança desde o desenho

A conformidade de agentes de IA começa no design e continua durante toda a operação: controle de acesso baseado em papéis, anonimização de dados quando não forem estritamente necessários, logs de auditoria, envolvimento de Jurídico/DPO/Segurança desde o início e avaliação contínua antes de publicar.

Para um roteiro operacional passo a passo, consulte nosso Checklist de segurança e compliance para agentes criados no Copilot Studio (LGPD na prática), que detalha o mapeamento de dados, a classificação de sensibilidade e os controles técnicos, administrativos e jurídicos aplicáveis.

Boas práticas para se adequar à LGPD com ferramentas acessíveis

• Use o Outlook com criptografia de e-mails;
• Compartilhe dados sensíveis apenas por Teams ou SharePoint;
• Defina políticas de acesso com grupos organizacionais;
• Armazene dados em ambientes rastreáveis;
• Treine sua equipe sobre boas práticas de segurança da informação.

A adequação à LGPD exige mais do que processos, requer conhecimento e preparo da equipe. Os treinamentos da Lean Solutions ajudam sua empresa a entender e aplicar as práticas de conformidade, aproveitando todo o potencial das ferramentas do Microsoft 365.