Tem uma frase que a gente escuta com frequ\u00eancia em transportadora: “LGPD \u00e9 coisa de banco e de hospital, aqui a gente s\u00f3 carrega carga”. \u00c9 uma frase confort\u00e1vel e completamente errada. Transportadora trata dado pessoal o dia inteiro, em volume, e boa parte dele \u00e9 dado sens\u00edvel.<\/p>\n
Pense no que passa pela sua opera\u00e7\u00e3o numa semana normal: CPF e CNH de motorista pr\u00f3prio e agregado, endere\u00e7o de entrega de pessoa f\u00edsica, telefone do recebedor, exame toxicol\u00f3gico, ASO com informa\u00e7\u00e3o de sa\u00fade, geolocaliza\u00e7\u00e3o do motorista na jornada. Tudo isso \u00e9 dado pessoal na defini\u00e7\u00e3o da Lei 13.709\/2018, e o de sa\u00fade entra na categoria sens\u00edvel, com r\u00e9gua ainda mais alta.<\/p>\n
E tem o outro lado, que quase ningu\u00e9m conecta: o dado da carga. Um romaneio com o que vai em cada caminh\u00e3o, por qual rota e para qual endere\u00e7o, nas m\u00e3os erradas, \u00e9 intelig\u00eancia para quadrilha. Neste artigo, vamos tratar LGPD e ciberseguran\u00e7a como o que elas s\u00e3o para uma transportadora: prote\u00e7\u00e3o de ativo, n\u00e3o burocracia.<\/p>\n
O primeiro passo de qualquer adequa\u00e7\u00e3o \u00e9 saber o que voc\u00ea tem. Fa\u00e7a o exerc\u00edcio: liste onde vivem, hoje, os dados de pessoas na sua opera\u00e7\u00e3o.<\/p>\n
No RH e no cadastro de motoristas: CPF, RG, CNH com foto, comprovante de endere\u00e7o, dados banc\u00e1rios, toxicol\u00f3gico e ASO. No agregado, a coisa piora: voc\u00ea coleta os mesmos documentos de algu\u00e9m que nem \u00e9 seu empregado, e eles costumam ficar numa pasta de rede ou no e-mail de quem contratou. O exame toxicol\u00f3gico de motorista<\/a> \u00e9 exatamente um caso de dado de sa\u00fade tratado por transportadora.<\/p>\n Na opera\u00e7\u00e3o: endere\u00e7o de entrega de pessoa f\u00edsica, telefone do recebedor, assinatura no comprovante. E na gest\u00e3o de frota: a posi\u00e7\u00e3o do ve\u00edculo, que na pr\u00e1tica \u00e9 a posi\u00e7\u00e3o de uma pessoa identificada durante toda a jornada do motorista<\/a>. Geolocaliza\u00e7\u00e3o vinculada a pessoa \u00e9 dado pessoal, e o monitoramento precisa ter prop\u00f3sito claro e comunicado.<\/p>\n A LGPD n\u00e3o pro\u00edbe tratar dado pessoal. Ela exige que cada uso tenha uma base legal, e no contexto de transporte tr\u00eas delas resolvem quase tudo. A primeira \u00e9 a execu\u00e7\u00e3o de contrato: voc\u00ea precisa do endere\u00e7o do destinat\u00e1rio para entregar, precisa dos dados do motorista para pagar o frete do agregado. Sem esses dados, o contrato n\u00e3o acontece.<\/p>\n A segunda \u00e9 a obriga\u00e7\u00e3o legal ou regulat\u00f3ria. O toxicol\u00f3gico \u00e9 exig\u00eancia da Lei do Motorista, o ASO \u00e9 exig\u00eancia trabalhista, a guarda de documento fiscal tem prazo definido em norma. Quando a lei manda, a base \u00e9 essa, e o prazo de reten\u00e7\u00e3o acompanha a exig\u00eancia legal.<\/p>\n A terceira \u00e9 o leg\u00edtimo interesse, e aqui vai um conselho direto: use com parcim\u00f4nia. Ele serve para situa\u00e7\u00f5es como rastreamento por seguran\u00e7a da carga ou preven\u00e7\u00e3o a fraude, mas exige balanceamento documentado, n\u00e3o \u00e9 curinga para justificar qualquer coisa. E um alerta: este artigo orienta a gest\u00e3o, mas adequa\u00e7\u00e3o formal \u00e0 LGPD pede apoio jur\u00eddico especializado, de mapear base legal a redigir aviso de privacidade.<\/p>\n Esse exemplo resume o esp\u00edrito da lei. Um motorista se candidata, voc\u00ea coleta CNH, toxicol\u00f3gico, refer\u00eancias, e ele \u00e9 reprovado. A resposta honesta da maioria das transportadoras sobre quanto tempo esse dossi\u00ea fica guardado \u00e9 “para sempre, porque ningu\u00e9m nunca apagou nada”.<\/p>\n A LGPD diz o contr\u00e1rio: dado se guarda enquanto tem finalidade. Candidato reprovado n\u00e3o tem contrato nem gera obriga\u00e7\u00e3o trabalhista, ent\u00e3o o esperado \u00e9 definir prazo (alguns meses para eventual reconsidera\u00e7\u00e3o, por exemplo) e eliminar depois. O mesmo racioc\u00ednio vale para o agregado que nunca mais rodou com voc\u00ea e para o telefone de recebedor de uma entrega de dois anos atr\u00e1s.<\/p>\n Esque\u00e7a por um momento o hacker de filme. O vazamento mais prov\u00e1vel na sua opera\u00e7\u00e3o \u00e9 banal: algu\u00e9m exporta a programa\u00e7\u00e3o do dia para uma planilha, com nomes, endere\u00e7os e cargas, e manda no grupo de WhatsApp da equipe. A planilha \u00e9 encaminhada para um motorista, que encaminha para outro grupo, e em algumas horas voc\u00ea perdeu o controle de quem tem aquela informa\u00e7\u00e3o.<\/p>\n Agora conecte com o risco f\u00edsico: uma planilha que diz qual caminh\u00e3o carrega eletr\u00f4nico, por qual rota e para qual endere\u00e7o \u00e9 exatamente o insumo que uma quadrilha precisa. Vazamento de dado de carga n\u00e3o \u00e9 s\u00f3 problema de LGPD, \u00e9 vetor de sinistro. J\u00e1 mostramos no artigo sobre preven\u00e7\u00e3o de roubo de cargas<\/a> que informa\u00e7\u00e3o vazada aparece na origem de roubos direcionados. Proteger dado e proteger carga s\u00e3o a mesma disciplina.<\/p>\n Na transportadora, seguran\u00e7a da informa\u00e7\u00e3o n\u00e3o \u00e9 um tema paralelo \u00e0 seguran\u00e7a patrimonial. O romaneio que vaza hoje \u00e9 o caminh\u00e3o que some na semana que vem.<\/p><\/blockquote>\n Voc\u00ea n\u00e3o precisa de um departamento de seguran\u00e7a para eliminar os riscos mais graves, precisa de disciplina em meia d\u00fazia de pontos. Comece pelo cen\u00e1rio que realmente para a opera\u00e7\u00e3o: ransomware. Se o servidor local amanhece criptografado, quem emite CT-e? Quem sabe o que est\u00e1 carregado em cada ve\u00edculo? Empresas ficam dias paradas por isso, e transportadora parada n\u00e3o fatura.<\/p>\n Depois, olhe para os h\u00e1bitos internos que abrem a porta:<\/p>\n \u00c9 aqui que a escolha do sistema pesa. Um TMS em nuvem s\u00e9rio j\u00e1 entrega controle de acesso por perfil, trilha de auditoria e backup automatizado, coisas que um servidor local com planilhas nunca vai ter. A Growth Log foi constru\u00edda assim de f\u00e1brica: cada usu\u00e1rio tem login e perfil de permiss\u00e3o pr\u00f3prios, toda a\u00e7\u00e3o relevante fica registrada, os dados ficam em infraestrutura com backup di\u00e1rio, e o motorista acessa s\u00f3 o que \u00e9 dele pelo aplicativo do motorista<\/a>, em vez de receber romaneio por WhatsApp. Boa parte do dever de casa da LGPD deixa de ser projeto e vira configura\u00e7\u00e3o.<\/p>\n A LGPD tem um dever expl\u00edcito de seguran\u00e7a: adotar medidas t\u00e9cnicas e administrativas aptas a proteger os dados. E tem o artigo 48: incidente que possa acarretar risco ou dano relevante aos titulares deve ser comunicado \u00e0 ANPD e \u00e0s pessoas afetadas, e o regulamento da ANPD indica prazo de 3 dias \u00fateis a partir do conhecimento do incidente.<\/p>\n Ou seja: se o servidor foi criptografado ou a planilha de motoristas vazou, voc\u00ea pode ter obriga\u00e7\u00e3o formal com prazo curto, al\u00e9m do problema operacional. As san\u00e7\u00f5es v\u00e3o de advert\u00eancia a multa (na lei, at\u00e9 2% do faturamento, com teto de R$ 50 milh\u00f5es por infra\u00e7\u00e3o), passando pela publiciza\u00e7\u00e3o da infra\u00e7\u00e3o, que para quem vive de contrato com embarcador pode doer mais que a multa. O plano de resposta a incidente se desenha com apoio jur\u00eddico, antes do incidente.<\/p>\n Se o argumento legal n\u00e3o convenceu, o comercial convence. Embarcador grande j\u00e1 trata prote\u00e7\u00e3o de dados como crit\u00e9rio de homologa\u00e7\u00e3o de fornecedor. No question\u00e1rio de qualifica\u00e7\u00e3o do BID de frete de embarcador grande<\/a> aparecem perguntas diretas: voc\u00ea tem pol\u00edtica de privacidade? Controle de acesso por perfil? Trilha de auditoria? Plano de resposta a incidente? Quem responde “n\u00e3o” a tudo come\u00e7a o BID perdendo.<\/p>\n Faz sentido: o embarcador te entrega dados de clientes dele (endere\u00e7os, contatos, volumes) e responde pelo que acontecer com eles. Transportadora que demonstra controle vira fornecedor de menor risco, e isso pesa na decis\u00e3o tanto quanto o pre\u00e7o do frete. Adequa\u00e7\u00e3o, vista por esse \u00e2ngulo, \u00e9 investimento comercial com retorno em contrato.<\/p>\n N\u00e3o tente resolver tudo de uma vez. Uma sequ\u00eancia realista para os pr\u00f3ximos 90 dias:<\/p>\n O recado final \u00e9 simples: dado de motorista, de cliente e de carga \u00e9 ativo da sua transportadora, e ativo se protege. A boa not\u00edcia \u00e9 que a maior parte do trabalho t\u00e9cnico (acesso, auditoria, backup, criptografia) j\u00e1 vem pronta quando a opera\u00e7\u00e3o roda num TMS em nuvem s\u00e9rio. Quer ver como a Growth Log entrega isso no dia a dia da sua opera\u00e7\u00e3o? Agende uma demonstra\u00e7\u00e3o<\/a>.<\/p>\nBase legal: por que voc\u00ea pode (e at\u00e9 deve) tratar esses dados<\/h2>\n
Reten\u00e7\u00e3o: quanto tempo guardar o cadastro do motorista reprovado?<\/h3>\n
O dado que vaza mais f\u00e1cil: o romaneio no WhatsApp<\/h2>\n
Ciberseguran\u00e7a pragm\u00e1tica para PME de transporte<\/h2>\n
\n
Incidente aconteceu: e agora?<\/h2>\n
LGPD virou exig\u00eancia comercial: o embarcador vai te auditar<\/h2>\n
Por onde come\u00e7ar, na pr\u00e1tica<\/h2>\n
\n