OSINT BRASIL // GOVERNANÇA DE DADOS PESSOAIS

Documentos Pessoais na Internet: Manual de Boas Práticas em Proteção de Dados

Fotos de RG, CNH e passaporte circulando em redes sociais, grupos de WhatsApp e sites institucionais não são um detalhe estético — são incidentes de dados pessoais em potencial. Este manual explica o conceito de PII, o que dizem a LGPD e a GDPR, e traz recomendações práticas para usuários, empresas, colaboradores e órgãos públicos.

Neste manual: 1. O que é PII e dado pessoal sensível 2. Riscos reais de publicar documentos 3. O que dizem a LGPD e a GDPR 4. Casos práticos comentados 5. Responsabilidades: empresa x colaborador 6. Manual de boas práticas 7. Checklist de resposta a incidente

PII (Personally Identifiable Information) é o termo em inglês para o que a LGPD chama de dado pessoal: qualquer informação, isolada ou combinada com outras, capaz de identificar ou tornar identificável uma pessoa natural (art. 5º, I).

Uma foto de documento é um caso extremo de concentração de PII em um único arquivo: nome completo, filiação, data de nascimento, CPF, RG, assinatura, foto do rosto e, no caso do passaporte, nacionalidade e número de identificação internacional. Isso a torna um dos ativos mais sensíveis que uma pessoa pode expor sem perceber.

Categoria	Exemplos	Base legal (LGPD)
Dado pessoal comum	Nome, e-mail, telefone, endereço, CPF	Art. 5º, I
Dado pessoal sensível	Biometria, saúde, origem racial, dado de menor	Art. 5º, II
Documento de identificação	RG, CNH, passaporte (combinam dado comum + biometria facial + assinatura)	Arts. 5º, I e II combinados

Nota técnica A foto de uma CNH ou passaporte inclui, tecnicamente, um dado biométrico (a foto do rosto associada a um identificador único). Isso reforça o enquadramento como dado sensível quando tratado para fins de identificação, elevando o padrão de cuidado exigido de quem trata essa informação.

• Fraude de identidade: abertura de contas bancárias, cartões de crédito, linhas de empréstimo e até assinatura de contratos em nome da vítima.
• Engenharia social e phishing direcionado: dados reais do documento aumentam a credibilidade de golpes de "central de atendimento", falsos boletos e falsas intimações.
• Doxxing e exposição não consentida: mesmo publicações "de boa-fé" (documento achado, denúncia pública) revelam dados de terceiros sem consentimento.
• Uso em golpes de "documento clonado": a foto do documento é reaproveitada para criar identidades falsas usadas em outros golpes, distantes da vítima original.
• Persistência do dado: uma vez indexado por mecanismos de busca, cache ou compartilhado em grupos, o controle sobre a informação é praticamente perdido — mesmo após a exclusão da publicação original.

Tanto a LGPD (Lei 13.709/2018) quanto a GDPR (Regulamento (UE) 2016/679) partem do mesmo princípio: dado pessoal só deve ser tratado com finalidade legítima, informada e proporcional. Nenhuma das duas normas proíbe diretamente o cidadão de publicar sua própria imagem, mas ambas responsabilizam fortemente quem trata dados de terceiros — empresas, órgãos públicos e, em certos contextos, indivíduos que atuam em nome de uma organização.

Tema	LGPD	GDPR
Princípios gerais	Art. 6º — finalidade, adequação, necessidade, segurança, prevenção	Art. 5º — lawfulness, purpose limitation, data minimisation, integrity
Base legal para tratamento	Art. 7º — consentimento, cumprimento de obrigação legal, legítimo interesse	Art. 6º — consent, legal obligation, legitimate interest
Dever de segurança	Art. 46 — medidas técnicas e administrativas aptas a proteger dados	Art. 32 — appropriate technical and organisational measures
Comunicação de incidente	Art. 48 — comunicação à ANPD e ao titular em caso de risco relevante	Art. 33/34 — notificação à autoridade em 72h e ao titular quando aplicável
Responsabilização	Art. 42 — controlador/operador respondem por danos decorrentes do tratamento	Art. 82 — direito a indenização e responsabilidade solidária
Autoridade fiscalizadora	ANPD (Autoridade Nacional de Proteção de Dados)	Autoridades nacionais de proteção de dados (DPAs) de cada Estado-membro

Na prática, ambas recomendam o mesmo caminho para qualquer organização que lida com fotos de documentos: tratar apenas o necessário, por tempo limitado, com acesso restrito, e nunca expor publicamente — nem por engano, nem por "boa intenção".

🚌 Documento achado exposto no vidro do guichê exposição de terceiro

Colar um documento encontrado (RG, CNH) no vidro de um guichê de empresa de transporte, visível a qualquer pessoa que passe pelo local ou fotografe, é uma forma de exposição pública não autorizada de dado pessoal de terceiro. O procedimento correto é registrar o achado internamente, guardá-lo em local de acesso restrito e notificar o titular por canal direto (telefone, e-mail), nunca por exposição visual acessível ao público.

📱 Coleta de dados via WhatsApp por empresas tratamento sem controle formal

Empresas que coletam CPF, comprovantes, fotos de documentos ou dados de saúde via WhatsApp comum enfrentam três problemas recorrentes: (1) ausência de finalidade e prazo de retenção definidos, (2) mistura de dados de clientes com o aparelho pessoal do colaborador, e (3) falta de trilha de auditoria. Isso não torna o WhatsApp automaticamente proibido, mas exige política formal: uso de conta corporativa (WhatsApp Business/API), backup controlado, exclusão programada e proibição de encaminhamento a terceiros ou grupos.

🎓 Líderes de instituição expondo dados em grupos de WhatsApp reincidência após orientação

Quando um líder (coordenador, gestor) compartilha boletins, notas, documentos ou dados de saúde de alunos/colaboradores em grupo de WhatsApp mesmo após orientação formal, o caso deixa de ser falha pontual e passa a configurar não conformidade recorrente. Isso exige, além de treinamento, medidas de enforcement: restrição técnica de canais, sanção disciplinar prevista em política interna, e registro formal do incidente para fins de responsabilização e prestação de contas à ANPD, se necessário.

🏛️ Sites de prefeitura expondo fotos de CNH e documentos falha de configuração/portal

Portais de transparência ou sistemas de protocolo que publicam anexos com fotos de documentos (comum em processos administrativos, licitações ou diários oficiais digitalizados sem tarjamento) geram exposição massiva e indexável pelo Google. A recomendação técnica é: tarjamento automático de campos sensíveis antes da publicação, revisão de anexos por checklist antes do upload, e auditoria periódica de mecanismos de busca (Google dorking defensivo) para detectar exposições já ocorridas.

Frente	Responsabilidade da empresa (controladora)	Responsabilidade do colaborador
Governança	Definir política de privacidade, nomear encarregado (DPO), formalizar canais autorizados de tratamento	Seguir exclusivamente os canais formalizados; não criar atalhos "mais práticos"
Treinamento	Treinar periodicamente (não apenas uma vez) e medir eficácia do treinamento	Participar, aplicar o conteúdo e reportar dúvidas antes de agir
Monitoramento	Auditar uso de canais informais (WhatsApp pessoal, e-mail pessoal) e agir sobre reincidência	Reportar exposições acidentais próprias ou de colegas imediatamente
Incidente	Notificar ANPD/titulares quando houver risco relevante (art. 48 LGPD)	Não tentar "resolver por fora" um incidente já ocorrido; escalar formalmente
Sanção	Aplicar consequências disciplinares proporcionais e documentadas em caso de reincidência	Responder disciplinar, civil ou até penalmente conforme dolo/negligência apurada

Ponto de atenção Orientação verbal isolada não é treinamento. Para fins de defesa em eventual fiscalização da ANPD, a empresa precisa comprovar: conteúdo do treinamento, data, lista de participantes, e evidência de reforço periódico — não apenas a alegação de que "já foi avisado".

Para usuários de internet:

1. Nunca publique foto de documento próprio ou de terceiros em redes sociais, mesmo para fins de denúncia — tarje nome, CPF, RG e assinatura antes.
2. Se encontrar um documento de terceiro, entregue em posto policial ou delegacia mais próxima; não fotografe nem exponha publicamente.
3. Ao enviar documento para uma empresa via WhatsApp, confirme se é o canal oficial (conta comercial verificada) e pergunte a finalidade e o prazo de guarda.

Para empresas (controladoras de dados):

1. Formalizar política de tratamento de documentos, incluindo canais autorizados e proibição expressa de grupos de WhatsApp comuns para dados sensíveis.
2. Nomear encarregado (DPO) e manter registro das operações de tratamento (ROPA).
3. Auditar periodicamente sites, portais e materiais impressos em busca de exposição inadvertida de documentos.
4. Tratar "objetos/documentos achados" com protocolo formal de custódia e devolução, nunca exposição visual pública.
5. Treinar continuamente — não como evento único — e medir taxa de reincidência por área/liderança.

Para colaboradores e lideranças:

1. Nunca reencaminhar boletins, documentos ou dados de terceiros em grupos, mesmo internos, sem base legal e autorização formal.
2. Reportar qualquer exposição observada, mesmo que cometida por outro colega ou liderança superior.
3. Entender que "sempre fizemos assim" não é defesa válida diante de não conformidade reincidente.

Para órgãos públicos e sites institucionais:

1. Tarjar automaticamente campos sensíveis em anexos antes da publicação em portais de transparência.
2. Rodar auditorias periódicas de indexação (Google dorking defensivo) para localizar exposições já publicadas.
3. Ter processo formal de remoção rápida quando uma exposição for identificada, com prazo definido.

• Remover o conteúdo exposto imediatamente na origem (post, anexo, grupo).
• Verificar se houve indexação por buscadores e solicitar remoção de cache/URL.
• Registrar o incidente formalmente com data, escopo e dados afetados.
• Avaliar se o incidente gera risco ou dano relevante ao titular (art. 48 LGPD) e, em caso positivo, notificar ANPD e titulares.
• Orientar o titular afetado sobre medidas defensivas (monitorar CPF, alertar bancos, boletim de ocorrência se aplicável).
• Revisar processo interno para identificar a causa raiz e evitar recorrência.

Conteúdo produzido por RDS (@RDSWEB) para o blog OSINT Brasil. Este material tem caráter informativo e não substitui orientação jurídica formal sobre um caso concreto.

Fale com a equipe: WhatsApp (47) 98861-8255 · X/@RDSWEB · Facebook

💬 Fale conosco