Conformidade com a LGPD na empresa com segmento na área contábil, localizada em Santos-SP: uma análise dos processos organizacionais com foco no setor de recursos humanos

Abstract

O presente trabalho teve como objetivo geral analisar o nível de conformidade de uma empresa com segmento na área contábil, localizada em Santos/SP, com os requisitos da Lei Geral de Proteção de Dados Pessoais (LGPD, Lei n.º 13.709/2018), com foco no setor de Recursos Humanos e nas práticas de segurança da informação adotadas pela organização. Para tanto, foram definidos como objetivos específicos identificar falhas e não conformidades nos processos de tratamento de dados pessoais, avaliar o nível de conhecimento dos colaboradores sobre a LGPD e a segurança digital por meio de instrumentos de coleta e de uma ação de capacitação, e propor intervenções que contribuíssem para a adequação das práticas organizacionais à legislação vigente. A pesquisa caracteriza-se como de finalidade aplicada e, quanto aos objetivos, como exploratória, com abordagem quali-quantitativa. Adotou-se o método indutivo, partindo da observação da realidade concreta da organização para a formulação de conclusões mais amplas sobre seu nível de conformidade, e os procedimentos técnicos de estudo de caso e levantamento bibliográfico. A coleta de dados contemplou entrevistas semiestruturadas com o sócio-administrador, também responsável pela função de Encarregado de Proteção de Dados (DPO), e com os profissionais dos setores de Recursos Humanos e Tecnologia da Informação, além da aplicação de formulário aos colaboradores, de questionário avaliativo gamificado via plataforma Kahoot e da realização de uma capacitação sobre segurança digital e LGPD nas dependências da empresa. Os resultados confirmaram, em graus distintos, as hipóteses formuladas, evidenciando um cenário de conformidade parcial: a organização apresenta boas práticas consolidadas, como maturidade na continuidade de negócios e conscientização geral dos colaboradores sobre a legislação, ao lado de lacunas relevantes, entre elas a ausência de senhas individuais em parte das estações de trabalho, o desconhecimento do canal de reporte de incidentes por mais da metade dos colaboradores e a inexistência de políticas formalizadas de segurança da informação. Como contribuição prática, foi elaborado e entregue à gestão um Plano de Intervenção estruturado em oito ações distribuídas em quatro fases ao longo de doze meses, fundamentado nos princípios da LGPD e nos requisitos da norma ABNT NBR ISO/IEC 27001:2022, cuja adoção permanece a critério da organização.

The overall objective of this study was to analyze the level of compliance of a company in the accounting sector, located in Santos, São Paulo, with the requirements of the General Personal Data Protection Law (LGPD, Law No. 13,709/2018), focusing on the Human Resources department and the information security practices adopted by the organization. To this end, the specific objectives were defined as follows: to identify flaws and non-compliances in personal data processing procedures; to assess employees’ level of knowledge regarding the LGPD and digital security through data collection tools and a training initiative; and to propose interventions that would help bring organizational practices into compliance with current legislation. The research is characterized as applied in purpose and, in terms of its objectives, as exploratory, employing a qualitative-quantitative approach. The inductive method was adopted, proceeding from the observation of the organization’s concrete reality to formulate broader conclusions about its level of compliance, along with the technical procedures of case study and literature review. Data collection included semi-structured interviews with the managing partner—who also serves as the Data Protection Officer (DPO)—and with professionals from the Human Resources and Information Technology departments, as well as the distribution of a survey to employees, a gamified assessment questionnaire via the Kahoot platform, and a training session on digital security and the LGPD held at the company’s premises. The results confirmed, to varying degrees, the hypotheses formulated, revealing a scenario of partial compliance: the organization demonstrates established best practices, such as maturity in business continuity and general employee awareness of the legislation, alongside significant gaps, including the absence of individual passwords on some workstations, a lack of knowledge regarding the incident reporting channel among more than half of the employees, and the absence of formalized information security policies. As a practical contribution, an Intervention Plan was developed and submitted to management. This plan is structured around eight actions distributed across four phases over a twelve-month period, based on the principles of the LGPD and the requirements of the ABNT NBR ISO/IEC 27001:2022 standard, the adoption of which remains at the organization’s discretion.