BYOD na empresa: quem responde quando o dado vazado está no celular do funcionário 

Quando a política de uso de dispositivo pessoal não separa dados corporativos de informações privadas, a empresa amplia sua exposição jurídica 

Um funcionário perde o celular pessoal. Nele, além das fotos da família e das conversas de grupo, está o aplicativo de e-mail corporativo sincronizado, uma planilha de clientes salva no WhatsApp e o acesso ao sistema de gestão da empresa sem exigência de segundo fator. Quando esse dispositivo é clonado ou simplesmente cai em mãos erradas, a empresa não deixa de responder pelas obrigações que lhe cabem como controladora. Eventual responsabilidade do empregado depende dos fatos e não substitui os deveres de prevenção, segurança e resposta da organização. 

Esse cenário ilustra um risco das operações que adotam BYOD, sigla para Bring Your Own Device, modelo em que o colaborador usa o próprio smartphone, notebook ou tablet para acessar sistemas e dados da empresa. A prática pode reduzir custos com equipamentos e ampliar a flexibilidade, mas exige controles sobre acesso, armazenamento local e encerramento do uso profissional. 

O problema que o RH não vê: dispositivo pessoal com dado corporativo 

Quando o controle do BYOD se resume a um termo de uso genérico assinado no onboarding, sem cláusula específica sobre dado pessoais, sem previsão de auditoria e sem procedimento definido para o desligamento, o dispositivo entra e sai do perímetro de segurança da empresa sem que exista visibilidade real sobre o que está armazenado nele. 

Onde a linha entre uso pessoal e uso profissional desaparece na prática 

O e-mail corporativo sincronizado no celular pessoal carrega automaticamente anexos, contatos e histórico de conversas para o armazenamento local do aparelho. Aplicativos de mensagem usados para agilizar o contato com cliente misturam, na mesma conta, dado de trabalho e dado da vida privada do funcionário. Nenhuma dessas situações depende de má-fé. Elas nascem da conveniência operacional, e é exatamente por isso que passam despercebidas até o momento em que algo dá errado. 

Quem responde pelo dado: a posição do controlador na LGPD 

A Lei Geral de Proteção de Dados Pessoais (LGPD) aplica-se ao tratamento de dados pessoais tanto em equipamentos corporativos quanto pessoais. A empresa será controladora quando lhe couberem as decisões sobre esse tratamento, independentemente de quem seja dono do aparelho. Se atuar em nome de outro controlador, seu papel poderá ser de operadora. A responsabilidade exige examinar a operação concreta, a conduta, o dano e as hipóteses legais. 

O artigo 6º da LGPD estabelece os princípios de segurança e prevenção, e os artigos 44 e 46 tratam do dever de adotar medidas técnicas e administrativas aptas a proteger os dados. O guia de segurança da ANPD apresenta referências práticas para agentes de tratamento, sem alterar a necessidade de adequar os controles ao risco concreto. 

Por que “o aparelho é dele” não afasta a responsabilidade da empresa 

A propriedade do hardware não altera, por si só, a posição da empresa no tratamento de dados corporativos. Em caso de incidente, serão relevantes os controles exigidos, a limitação do volume de dados replicado, a capacidade de revogar acessos e as orientações fornecidas ao empregado. Permitir BYOD sem salvaguardas pode caracterizar falha das medidas técnicas e administrativas exigidas da organização. 

O momento de maior exposição: desligamento e perda do dispositivo 

Dois eventos concentram o risco prático do BYOD: o desligamento do funcionário e a perda ou furto do aparelho. Em ambos, a empresa precisa agir rapidamente para conter acessos e avaliar se ocorreu incidente de segurança sujeito ao procedimento de comunicação. A política mal desenhada trava justamente porque o mesmo dispositivo guarda dados corporativos e informações privadas do funcionário. 

Apagar dado remotamente: até onde a empresa pode ir sem violar a privacidade do funcionário 

Soluções de gerenciamento de dispositivos e aplicações móveis, conhecidas como MDM e MAM, podem permitir a separação da área corporativa e o apagamento seletivo de seus dados, conforme a plataforma e a configuração adotadas. Essa capacidade precisa ser testada antes de integrar a política. Apagar todo o dispositivo, incluindo fotos e mensagens privadas, pode gerar pedidos de reparação e disputas trabalhistas. O controle deve limitar-se ao necessário para a finalidade profissional. 

O que uma política de BYOD juridicamente sólida precisa conter 

Um informe de uso aceitável, do tipo assinado sem leitura no primeiro dia de trabalho, não sustenta a posição da empresa diante de um incidente. É recomendável organizar regras específicas de BYOD, articuladas com o programa de governança de dados da empresa e efetivamente comunicadas ao funcionário antes da liberação de acesso. 

Cláusulas mínimas: ciência prévia, escopo de acesso e controle remoto (MDM) 

Três elementos não podem faltar. Primeiro, informação clara e adesão expressa do funcionário à instalação do perfil de gerenciamento corporativo, com explicação do que a empresa pode e não pode visualizar; a base legal para cada tratamento deve ser definida conforme a finalidade e não presumida como consentimento. Segundo, delimitação exata dos sistemas e dados acessíveis pelo dispositivo pessoal. Terceiro, procedimento de desligamento com prazo para revogação de acesso e apagamento apenas da área corporativa segregada, previamente testado. 

Como estruturar a adequação sem travar a rotina da equipe 

A adequação começa pelo mapeamento dos sistemas acessados por aparelhos pessoais, pela formalização das regras e pela escolha de controles compatíveis com a operação. A avaliação pode indicar limites de uso ou equipamentos corporativos para situações de maior risco. No teletrabalho, o artigo 75-D da CLT determina que as responsabilidades por equipamentos, infraestrutura e reembolso de despesas sejam previstas em contrato escrito. 

Leia também: Monitoramento de funcionários: o que sua empresa pode fazer sem criar passivo; Shadow AI: o uso não autorizado de inteligência artificial que pode expor dados e segredos da sua empresa; e Due diligence empresarial: como avaliar riscos e proteger sua empresa antes de fechar negócios. 

A SMN Advogados apoia empresas na estruturação de políticas de BYOD e controles proporcionais dentro do serviço de DPO externo.